A Rapid7 contou os alvos: 885.000 números de telefone, uma página falsa de carteira
Uma empresa de segurança abriu o capô de uma operação de phishing em cripto e achou o tamanho da lista de disparo: 885.000 números. O prêmio no fim da linha é justamente aquilo que sua carteira manda nunca digitar em site nenhum.
A empresa de cibersegurança Rapid7 publicou os detalhes de uma campanha de phishing em cripto montada sobre uma ideia bem simples: mande mensagem para números suficientes e alguns dos donos vão ter cripto. A lista documentada pela Rapid7 tem 885.000 números. É quase a população de uma cidade europeia de porte médio — todos os adultos dela, abordados de uma vez só.
A mensagem empurra a pessoa para um site com a cara do provedor da carteira. Mesmo logo, mesmo layout, mesmo tom calmo de atendimento. A página pede para "restaurar" ou "verificar" a carteira, o que na prática significa digitar a frase de recuperação — as 12 ou 24 palavras que são a carteira. Entregou, o dinheiro some antes de você fechar a aba. A Rapid7 deu o número de alvos. Ninguém deu o número de quem caiu, e esse é o dado que de fato importa.
Pense em telemarketing frio, só que a conta de telefone é praticamente zero e um acerto paga o dia inteiro. Listas de números são baratas e circulam há anos, vazamento após vazamento. O golpista não sabe quem, entre os 885.000, tem cripto — e é exatamente esse o ponto. A mensagem é o filtro. Quem se assusta e clica se identifica sozinho.
O que faz a cripto valer o esforço é a parte que o banco nunca deixa você sentir. Numa fraude de cartão existe um número para ligar, uma contestação para abrir e um departamento inteiro cuja função é desfazer a operação. Numa carteira não existe nada disso.
Em cripto não há estorno. Essa única ausência é o modelo de negócio inteiro dessa gente.
E é aqui que a história deixa de ser sobre cripto. A mesma maquininha — lista comprada, página clonada, mensagem com jeitinho de suporte — funciona em app de banco, em rastreio de entrega e em restituição do imposto de renda. A cripto é só a versão em que o dinheiro vai embora em definitivo. Se você já se perguntou por que as mensagens de golpe parecem chegar em escala industrial, é porque chegam mesmo. 885.000 é uma campanha, na pesquisa de uma única empresa, numa única foto do momento.
Quem tem um app de carteira no celular com algumas centenas de reais dentro — a primeira cripto que a maioria das pessoas abaixo dos 30 compra está exatamente aí, e é o dinheiro mais fácil do mundo de perder em noventa segundos. Também quem comprou umas moedas lá em 2021, esqueceu, e acreditaria sem pestanejar numa mensagem dizendo que a carteira precisa de "verificação" depois de todo esse tempo. E, em silêncio, todo o resto da lista de 885.000 que nunca chegou perto de cripto: a mensagem chegou igual, o que significa que o número está num banco de dados marcado como vale tentar.
Duas coisas para acompanhar. Primeira: se a Rapid7 ou as empresas de carteira imitadas vão publicar os domínios falsos — assim que os nomes saem, navegadores e registradores começam a bloquear, normalmente em poucos dias. Segunda: se o mesmo esquema reaparece em domínios novos uma ou duas semanas depois, que é o que costuma acontecer, já que as páginas são baratas e a lista é reaproveitável. Se os provedores de carteira soltarem avisos nominais aos usuários, é sinal de que a campanha funcionou o bastante para doer. Silêncio, em geral, quer dizer que ninguém contou.
Nenhum app de carteira, em hipótese alguma, pede sua frase de recuperação numa página da web. Nem para verificar, nem para migrar, nem para dar suporte. Se a página pede, a página é o ataque — não existe segunda leitura. Agora vá olhar as mensagens que você apagou na semana passada. De qual marca elas fingiam ser?
Fontes: divulgação de pesquisa da Rapid7 sobre a campanha de phishing; Cointelegraph, reportando os achados.