A segurança de dados pessoais de milhões de brasileiros voltou ao centro do alerta após a identificação de uma campanha criminosa de phishing que utiliza uma estrutura automatizada para se passar pelo Serasa. Pesquisadores de segurança digital descobriram que o grupo é responsável pelo registro de mais de 600 domínios fraudulentos, criados especificamente para imitar páginas da empresa e capturar informações sensíveis de usuários.
Diferentemente de golpes mais simples, baseados em poucos sites falsos, a operação funciona em larga escala e com alto grau de organização. Os criminosos montaram uma infraestrutura que permite a criação, publicação e substituição rápida de páginas falsas, dificultando ações de derrubada e bloqueio por autoridades e empresas de tecnologia.
Um dos principais fatores de risco identificados é o uso de plataformas legítimas para hospedar os sites fraudulentos. Parte das páginas falsas está sendo publicada no GitHub Pages, serviço pertencente à Microsoft, o que confere aparência de legitimidade aos links. Endereços que terminam em “github.io” tendem a gerar menos desconfiança entre usuários e podem contornar filtros de segurança mais básicos. Além disso, há indícios de uso do Netlify como alternativa de hospedagem, garantindo a continuidade da operação mesmo quando uma das plataformas remove o conteúdo irregular.
Automação dificulta o combate
Especialistas apontam que o nível de automação empregado é um dos principais desafios para o combate ao esquema. Scripts programados criam novos repositórios, compactam arquivos, realizam publicações automáticas e colocam novas páginas falsas no ar poucos minutos após a derrubada das anteriores. Esse modelo reduz custos, acelera a reposição dos sites e mantém o golpe ativo por longos períodos.
Para atrair vítimas, o grupo dissemina links por meio de anúncios em redes sociais, como Facebook e Instagram, além de mensagens enviadas por WhatsApp e SMS. Os textos costumam apelar para o senso de urgência, com frases como ofertas de desconto para “limpar o nome” ou avisos falsos sobre dívidas pendentes. Os domínios, em geral registrados com a extensão “.shop”, são escolhidos por terem baixo custo e facilidade de registro em massa.
Ao acessar o link, o usuário encontra uma página que reproduz o visual do site do Serasa. Após a inserção do CPF, um código em JavaScript simula uma consulta ao sistema, exibindo uma animação de carregamento de alguns segundos. Na prática, não há verificação real. O procedimento serve apenas para transmitir credibilidade enquanto os dados são coletados.
As informações capturadas, como CPF, nome, telefone e e-mail, são armazenadas e posteriormente comercializadas em mercados clandestinos. Valores identificados em arquivos analisados variam entre R$ 5 e R$ 150 por conjunto de dados. Esse material é utilizado principalmente em fraudes bancárias e na abertura de contas falsas, e indícios apontam que centenas de brasileiros já foram afetados recentemente.
