Kit de phishing "Outsider" resiste à ação do FBI e já gerou mais de 100 mil páginas fraudulentas
A Group-IB documentou o "Outsider Phishing Kit", uma plataforma de phishing-as-a-service operada por um grupo baseado na China e vendida por assinatura via Telegram, responsável por mais de 100 mil páginas de phishing em 54 ou mais países entre dezembro de 2025 e maio de 2026. Mesmo após o Google processar o grupo com apoio do FBI na operação "Ghost Hook" em junho, a operação seguiu ativa, com centenas de novas páginas surgindo já no mês seguinte ao takedown. O kit reduz drasticamente a barreira técnica para lançar campanhas de fraude em massa, oferecendo templates prontos e painel centralizado de coleta de dados.
A Group-IB revelou a escala do "Outsider Phishing Kit", uma plataforma de phishing-as-a-service (PhaaS) operada por cibercriminosos baseados na China e comercializada por assinatura diretamente pelo Telegram. Entre dezembro de 2025 e maio de 2026 os pesquisadores contabilizaram mais de 100 mil páginas de phishing distintas geradas com o kit, espalhadas por 54 ou mais países — um volume que só é possível graças à industrialização do processo de ataque.
Por dentro, a plataforma entrega 267 templates de phishing pré-construídos e personalizáveis, redirecionamento em tempo real das vítimas para endpoints controlados pelos operadores e um painel único que centraliza visitantes, interações e credenciais roubadas, incluindo dados de pagamento. Esse modelo de "crime como serviço" elimina a necessidade de conhecimento técnico do comprador: qualquer pessoa disposta a pagar a assinatura pode lançar uma campanha de coleta de credenciais em escala industrial.
A resiliência da operação é o ponto mais relevante do caso. O Google moveu ação judicial contra o grupo com apoio do FBI na operação "Ghost Hook" em junho, mas a infraestrutura de assinatura e o modelo descentralizado permitiram que os operadores voltassem a operar rapidamente — centenas de novas páginas de phishing foram observadas já um mês depois do takedown. Isso mostra os limites de ações legais pontuais contra operações PhaaS: elas atacam sintomas (domínios, contas) sem eliminar a plataforma que os gera continuamente.
As campanhas construídas com o kit tendem a combinar representação executiva, marca de fornecedor falsificada, faturas fabricadas e trocas de e-mail simuladas para reduzir o ceticismo da vítima — um padrão típico de fraude de faturamento e BEC. Para se proteger, organizações devem reforçar autenticação resistente a phishing (FIDO2/passkeys reais), monitorar continuamente domínios similares à própria marca, treinar equipes financeiras a validar pedidos de pagamento por canal independente do e-mail recebido, e reportar rapidamente páginas de phishing identificadas para acelerar takedowns — mesmo sabendo que a infraestrutura tende a se regenerar.