Campanha de phishing usa sorteio falso do Claude Max para roubar contas Google
A Malwarebytes identificou uma campanha de phishing que promete 10 mil assinaturas gratuitas do Claude Max da Anthropic para atrair vítimas e roubar credenciais do Google. O site falso reproduz logo, cores e depoimentos forjados da Anthropic, usa contador regressivo para criar urgência e abre uma janela de navegador falsa (browser-in-the-browser) idêntica à tela de login real do Google. Toda interação de senha é redirecionada para essa janela fraudulenta, inclusive desativando o botão de login via Apple para forçar a vítima a usar a conta Google.
A campanha aproveita o burburinho em torno de ferramentas de IA para atrair usuários com a promessa de assinaturas gratuitas do Claude Max, um produto real e bem avaliado, o que reduz a desconfiança inicial da vítima. O site clona elementos visuais da Anthropic — logotipo, paleta de cores, avaliações de cinco estrelas inventadas e links de rodapé que apontam para páginas genuínas da empresa — e usa um contador regressivo artificial para empurrar a vítima a agir sem pensar.
O mecanismo central é o chamado browser-in-the-browser: em vez de redirecionar para um domínio de phishing qualquer, a página desenha dentro do próprio HTML uma janela que imita com precisão o pop-up de login do Google, com barra de endereço, cadeado e título realistas. Como é apenas uma div renderizada na página e não uma janela de sistema real, ela não pode ser arrastada para fora dos limites do navegador nem redimensionada da forma como um pop-up legítimo se comportaria. O fluxo também começa com uma etapa de verificação humana antes de pedir a senha, o que ajuda a campanha a escapar de scanners automatizados e dá à vítima uma falsa sensação de que o site tem medidas de segurança.
O golpe é eficaz porque combina três fatores: branding de uma marca confiável e em alta, urgência artificial e uma técnica visual que a maioria dos usuários nunca aprendeu a reconhecer, já que olha para a barra de endereço como prova de legitimidade sem saber que ela pode ser falsificada dentro da própria página.
Para reconhecer esse tipo de ataque, o teste mais simples é tentar arrastar a janela de login para fora da aba do navegador — se ela não se mover como uma janela real, é phishing. Gerenciadores de senha também ajudam, pois não preenchem credenciais automaticamente em domínios falsos, e passkeys ou chaves de segurança físicas são praticamente imunes a esse tipo de captura porque estão vinculadas à origem real do site. Por fim, qualquer oferta de assinatura gratuita de uma ferramenta de IA deve ser verificada diretamente no site ou app oficial do fornecedor, nunca por meio de links recebidos em anúncios, redes sociais ou e-mail.