Golpistas transformaram uma plataforma legítima de gestão de gastos em ferramenta para enviar mensagens de phishing e validar credenciais financeiras roubadas. Com isso, a infraestrutura de pagamentos confiável passou a ser parte operacional da fraude, em vez de ser atacada diretamente.
A Group-IB documentou a atividade em um ambiente de cliente depois que a plataforma relatou notificações de pagamento suspeitas no fim de abril de 2026.
Segundo a pesquisa fornecida, a Group-IB bloqueou mais de 230 contas fraudulentas em maio de 2026. A detecção já na fase de cadastro reduziu o tempo de bloqueio de horas para menos de um minuto.
Os investigadores avaliaram que a atividade é compatível com o Classiscam, uma operação de golpe como serviço, modelo em que criminosos fornecem ferramentas prontas para aplicar fraudes. O grupo usa bots do Telegram para gerar páginas que imitam marketplaces e coletar informações de pagamento.
A pesquisa relacionada da Group-IB descreve um ecossistema em que os operadores fornecem modelos de phishing e infraestrutura a afiliados que executam os golpes.
Em vez de enviar e-mails fraudulentos por meio de infraestrutura controlada pelos atacantes, os operadores inseriram os endereços de e-mail das vítimas na própria plataforma legítima. Seu sistema de notificações entregava então mensagens dizendo que compradores haviam pago por compras em marketplaces.
Uma das iscas se passava pela Poshmark, apresentando uma notificação de despesa “paga” e alegando que os valores permaneciam retidos até a verificação de identidade. Um link encurtado direcionava os destinatários para uma página falsa da Poshmark.
A Poshmark foi usada como isca, mas a pesquisa não indica que seus sistemas tenham sido comprometidos.
As páginas de phishing exibiam contadores regressivos para pressionar vendedores a enviar nomes, endereços, dados de cartão, saldos e códigos de uso único.
Algumas variantes também pediam acesso à carteira de pagamento ou às credenciais de internet banking.
Pesquisadores da Group-IB afirmaram que a campanha tinha como alvo vendedores de marketplaces fora da base de clientes da plataforma, explorando recursos legítimos de mensagens e de vinculação de contas bancárias.
A segunda camada da operação abusou da integração de open banking da plataforma para testar credenciais roubadas.
A vinculação de contas por login, fornecida por meio de um agregador, retornava saldos em tempo real e histórico de transações.
Plataformas fintech exploradas
Diferentemente de digitar manualmente dados de agência e de conta, esse processo permitia verificar se as credenciais bancárias funcionavam e se a conta tinha fundos.
Os pesquisadores observaram a verificação de credenciais ocorrendo junto com o phishing, em tempo real, o que permitia usar imediatamente os códigos de uso único capturados.
Dispositivos associados às notificações de phishing também foram vinculados a contas usadas para testar cartões, conectando entrega e validação na mesma operação.
Em 27 de abril, uma identidade de dispositivo foi associada a duas contas de phishing e a duas contas de teste. No dia seguinte, outra identidade sustentou seis contas de cada tipo.
Impressões digitais compartilhadas de dispositivo e de localização geográfica indicaram que um mesmo dispositivo físico estava por trás dessas identidades.
Inicialmente, os operadores criaram várias contas usando endereços de e-mail descartáveis e um conjunto limitado de dispositivos.
Depois que o bloqueio aumentou, passaram a usar identidades de dispositivo aparentemente separadas, compatíveis com a limpeza de cookies ou com a navegação privada.
VPNs (redes privadas virtuais), proxies, redes de hospedagem e endereços residenciais ocultaram ainda mais a atividade, limitando a utilidade do bloqueio baseado apenas em endereços IP (Protocolo de Internet).
A plataforma também absorveu os custos das verificações de credenciais por meio das cobranças do agregador. No entanto, controles convencionais voltados a gastos não autorizados podiam deixar a operação passar despercebida, porque as perdas financeiras das vítimas ocorriam em outro lugar.
A pesquisa identifica três pontos de intervenção: a criação de contas, a primeira mensagem enviada e a primeira vinculação de conta bancária ou cartão.
Endereços descartáveis, impressões digitais de dispositivos repetidas, ritmos automatizados de cadastro, convites rápidos a destinatários e tentativas imediatas de vinculação podem revelar o abuso antes que o dinheiro seja movimentado.
A análise de grafos conecta esses sinais e revela relações entre contas de phishing e de teste aparentemente independentes.
O caso ilustra por que as defesas de fintechs devem monitorar o abuso da infraestrutura, e não apenas as transações que geram diretamente perdas financeiras.
