Golpistas usam onboarding de plataformas de gestao de despesas como 'verificador gratuito' de cartoes roubados e vitrine de phishing
Pesquisadores do Group-IB documentaram como operadores do esquema Classiscam estao abusando do processo de cadastro de plataformas de spend management (gestao de despesas corporativas) para dois fins ao mesmo tempo: disparar notificacoes de pagamento falsas que imitam marketplaces conhecidos (phishing) e usar a integracao de open banking dessas plataformas para testar, de graca, se cartoes e credenciais bancarias roubados ainda estao ativos e com saldo. Como o abuso ocorre inteiramente na camada de cadastro e verificacao, ele fica invisivel para o monitoramento transacional tradicional, que so observa a movimentacao de dinheiro.
O esquema identificado pelo Group-IB e uma variacao do Classiscam, familia de fraude-como-servico que ja e conhecida por usar bots de Telegram para gerar paginas de phishing em massa contra usuarios de marketplaces. A novidade aqui e o alvo intermediario: em vez de atacar diretamente bancos ou marketplaces, os criminosos abrem contas em plataformas legitimas de gestao de despesas corporativas (spend management) e exploram dois recursos dessas plataformas simultaneamente. Primeiro, usam a credibilidade e a infraestrutura de envio de notificacoes da plataforma para mandar avisos de pagamento falsos que imitam marketplaces como o Poshmark, levando a vitima a um formulario que coleta numero de cartao, senha de uso unico (OTP) e informacoes de saldo. Segundo, e mais sofisticado, usam o fluxo de vinculacao de conta bancaria via open banking dessas mesmas plataformas como um 'checador' gratuito: ao tentar cadastrar um cartao ou conta roubada, a propria plataforma consulta o agregador bancario para validar os dados, e esse processo diz ao fraudador se a credencial esta viva e com saldo -- sem que ele precise pagar por um servico de checker tradicional, e com o custo da consulta (entre US$ 0,30 e US$ 1,00) sendo absorvido pela plataforma vitimizada.
O fluxo operacional e simples de escalar: os operadores criam contas em massa usando emails descartaveis a partir de poucos dispositivos, escondem a origem com VPNs e proxies para nao disparar limites de taxa, disparam as campanhas de phishing e, em paralelo, alimentam o fluxo de onboarding bancario com lotes de credenciais roubadas para saber quais ainda sao validas. Os dados confirmados como ativos entram imediatamente no proximo estagio da cadeia de fraude -- venda a outros criminosos ou uso direto em compras fraudulentas -- enquanto as paginas de phishing continuam gerando novas vitimas. E um exemplo claro de como fraudadores miram a etapa de cadastro e verificacao de identidade de um produto financeiro, nao a movimentacao de dinheiro em si, porque e ali que o risco esta menos instrumentado.
O ponto central do relatorio e que esse tipo de abuso e estruturalmente invisivel para as defesas antifraude tradicionais: ele acontece todo na fase de onboarding, antes de qualquer transacao financeira existir, entao sistemas de monitoramento transacional -- que so comecam a olhar quando ha uma movimentacao de dinheiro -- nunca chegam a ver nada, porque a transacao fraudulenta posterior pode nem ocorrer na mesma plataforma. Isso cria uma lacuna de responsabilidade: a plataforma de spend management vira, sem saber, um prestador de servico de validacao de cartao roubado para terceiros, arcando com custo de aggregator, risco de marca e exposicao regulatoria, enquanto o dano financeiro final recai sobre o consumidor cuja identidade foi usada e sobre o marketplace impersonado.
Para quem opera esse tipo de plataforma (fintechs, gestao de despesas corporativas, qualquer servico com onboarding de pagamento e integracao bancaria), o Group-IB recomenda atuar em tres pontos de controle especificos em vez de esperar o monitoramento transacional: (1) na criacao da conta, detectar padroes de automacao como emails descartaveis, device fingerprints e geolocalizacoes duplicadas entre varias contas novas; (2) na primeira mensagem enviada por uma conta, colocar sob suspeita contas recem-criadas que comecam a disparar grandes volumes de notificacoes, e checar os links contra bases de inteligencia de phishing antes do envio; (3) na vinculacao de cartao ou conta bancaria, impor fricção extra (verificacao adicional, limites de tentativas por dispositivo) justamente para contas novas, que e onde o abuso de 'checker gratuito' se concentra.
Para o usuario final, a defesa pratica segue a logica classica contra phishing de marketplace: nunca inserir dados de cartao, senha ou OTP a partir de um link recebido por notificacao ou mensagem, mesmo que a marca pareca legitima; sempre acessar o marketplace ou a plataforma de pagamento digitando o endereco diretamente ou pelo app oficial; e desconfiar de qualquer cobranca ou aviso de pagamento que chegue fora do canal habitual de compra. Do lado das empresas, o caso reforca que avaliar risco apenas no momento da transacao e tarde demais quando o vetor de fraude e o proprio processo de cadastro.