Como os logs de infostealers alimentam silenciosamente a fraude bancária
Um relatório da Group-IB descreve a fraude bancária como o produto final de uma cadeia de suprimentos criminosa que começa num infostealer disfarçado de software legítimo e passa por revenda de credenciais, maturação de contas-mula e, só meses depois, o desvio de dinheiro em si. O documento argumenta que a maior falha de detecção está no vácuo entre os times de segurança e de antifraude, que monitoram pontas diferentes da mesma cadeia sem cruzar sinais.
O relatório do Group-IB descreve a fraude bancária moderna como uma cadeia de suprimentos criminosa, e não um evento isolado: um infostealer instalado via um "conversor de PDF" falso ou anúncio patrocinado rouba silenciosamente senhas salvas, cookies de sessão e dados de autofill do navegador — sem gerar qualquer alerta, porque nenhuma transação ocorre nesse momento. É esse "log" completo que depois alimenta as fraudes que aparecem meses depois.
A cadeia tem quatro etapas: coleta (o malware se autodestrói após extrair os dados), revenda em mercados underground como serviço por assinatura — stealer-as-a-service, com operadores comprando só a parte que interessa —, preparação de infraestrutura (contas são "amadurecidas" em vários bancos para passar por verificações de KYC) e, só então, execução, com uso de cookies de sessão roubados para contornar o MFA e mover dinheiro, ou onboarding de contas-mula para receber os valores desviados.
O relatório aponta que a lacuna de detecção existe porque a etapa intermediária não pertence a nenhum time: segurança monitora infraestrutura, antifraude monitora transações, e ninguém observa o estágio em que o log já foi vendido mas a conta ainda não movimentou dinheiro. Esse é exatamente o intervalo em que a fraude ainda é evitável.
A recomendação prática é a fusão dos sinais de cyber e fraude: tratar uma conta recém-aberta com padrão de comportamento atípico, ou um dispositivo novo logando com cookie de sessão válido mas sem o histórico esperado, como evidência de operação de stealer ativa, e não apenas como anomalia transacional isolada. Monitorar feeds de credenciais vazadas e cruzar identificadores de pagamento com contas-mula conhecidas antes da liquidação da transação é o que realmente reduz a perda, porque depois que o dinheiro sai, a janela de resposta se encerra.