Campanha 'Chameleon' de SEO envenenado espalha páginas falsas de bancos nos resultados de busca
Pesquisadores da Fortra registraram alta de 40% no segundo trimestre de 2026 em ataques de 'SEO poisoning' com cloaking, apelidados de Chameleon, que usam domínios typosquatted para posicionar páginas de phishing no topo de buscas por termos como 'portal do cliente' e 'login de cartão de crédito' de bancos. A técnica é desenhada especificamente para enganar scanners automatizados de segurança, mostrando conteúdo limpo a eles e a página falsa apenas a vítimas reais. O resultado prático é furto de credenciais bancárias por um caminho que o usuário acredita ser confiável: o próprio buscador.
A Fortra identificou um salto de 40% nas campanhas de 'SEO poisoning' com cloaking no segundo trimestre de 2026, batizadas de Chameleon SEO poisoning pelos pesquisadores. Diferente do phishing tradicional por e-mail, essa técnica ataca o canal de busca: os criminosos registram domínios com grafia próxima à de marcas legítimas — usando variações de extensão como .ph.com ou .gr.com para parecer familiares — e aplicam táticas de otimização de SEO para posicionar essas páginas fraudulentas nas primeiras posições de busca para termos financeiros de alto valor, como 'portal do cliente [nome do banco]' ou 'login cartão de crédito'.
O diferencial técnico que torna essa campanha mais perigosa que o SEO poisoning tradicional é o cloaking direcionado a ferramentas de segurança: o domínio malicioso é construído para reconhecer quando está sendo visitado por um scanner automatizado, crawler de segurança ou sistema de reputação de URL, e nesses casos entrega conteúdo inofensivo. Apenas visitantes identificados como usuários reais — normalmente por características de navegador, geolocalização e padrão de clique vindos de um resultado de busca — recebem a página clonada do banco. Isso derruba a eficácia de defesas baseadas puramente em varredura automática e explica por que campanhas assim conseguem se manter indexadas por mais tempo antes de serem removidas.
Uma vez na página falsa, a vítima insere credenciais de acesso à conta bancária ou dados de cartão acreditando estar no site oficial, já que chegou ali por meio de uma busca aparentemente legítima e não de um link suspeito recebido por e-mail ou SMS — o que reduz a desconfiança natural que boa parte dos usuários já desenvolveu para phishing tradicional. Esses dados alimentam diretamente fraudes de tomada de conta (account takeover) e transações não autorizadas.
A defesa mais eficaz nesse cenário é comportamental, não técnica: evitar chegar a serviços bancários por meio de resultados de busca e usar sempre o aplicativo oficial do banco ou uma URL previamente salva nos favoritos. Bancos e marcas visadas devem manter monitoramento ativo de domínios typosquatted e abuso de marca, e equipes de segurança corporativa devem lembrar que bloquear scanners tradicionais não é garantia de que uma página está limpa — a ausência de detecção automatizada, nesse tipo de campanha, é justamente o ponto.