Uma campanha de phishing ativa desde maio imita as páginas de login de cerca de 300 bancos dos EUA e de corretoras de criptomoedas, segundo relatório da empresa de inteligência de ameaças Kela, divulgado em 3 de novembro e noticiado pela ISMG, grupo que edita o DataBreachToday. Os golpistas tentam obter credenciais de acesso para desviar fundos de clientes, inclusive por transferências eletrônicas e ACH, e o número de pessoas que caíram no golpe não é conhecido. Os alvos são sobretudo bancos regionais de médio porte, além de bolsas globais de criptomoedas e usuários de serviços do Departamento do Tesouro dos EUA.
De acordo com a Kela, em 25 de outubro havia 248 domínios ainda ativos imitando 189 instituições financeiras americanas, de mais de 300 identificados desde maio, e a maioria segue o formato palavra-banco.com, com termos como secure, disable, protect e cancel. A campanha usa uma técnica de ocultação em que quem visita a página uma segunda vez, com o mesmo endereço IP, é enviado a uma tela de “conta suspensa”, a outro aviso falso, a uma página bloqueada ou a uma busca do Google, o que faz um domínio ativo parecer inativo para scanners e equipes de remoção. A Kela não encontrou sinais de um kit de phishing específico no submundo do cibercrime, e a mesma infraestrutura de hospedagem também sustenta golpes contra bancos, corretoras e serviços públicos do Reino Unido, dos Países Baixos, da Austrália e da Nova Zelândia, o que indica um único operador ou uma plataforma de phishing como serviço, embora as iscas fora dos EUA pareçam campanhas separadas.
Para a segurança bancária, a combinação de domínios numerosos e de ocultação por IP dificulta a derrubada, já que checagens pontuais podem dar a impressão de que o site foi desativado enquanto ele continua servindo vítimas novas. Do lado dos clientes, o padrão descrito, de endereços com palavras de alarme como cancel e secure, reforça a vantagem de acessar o banco pelo aplicativo oficial ou por endereço digitado, em vez de links recebidos. A Kela chegou a observar uma conexão de administração partindo de um modem residencial no Reino Unido, mas ressalva que isso não é prova de autoria, e a Kela lançou uma ferramenta gratuita, o Bank Phishing Check, para instituições verificarem se estão sendo imitadas.