Um agente de ameaças vem usando falsos avisos de “conta suspensa” para esconder conteúdo de phishing de usuários que voltam aos seus sites bancários falsificados, segundo a empresa de cibersegurança Kela.
A campanha, ativa desde maio, utiliza mais de 300 domínios falsos, incluindo 248 que se passam por 189 instituições financeiras dos EUA. Os primeiros foram registrados no fim de 2025, mas a maioria surgiu entre julho e setembro de 2026.
Até 25 de outubro, 183 das organizações visadas ainda tinham réplicas ativas, principalmente bancos regionais de médio porte. Na semana anterior, 49 novos domínios apareceram.
“O que os une é um único mecanismo: o kit registra o endereço IP (Internet Protocol) de cada visitante. Assim, o primeiro acesso recebe uma página de login bancário, enquanto qualquer visita posterior recebe o que parece ser uma conta de hospedagem encerrada. Chamamos este conjunto de infraestrutura de ‘Suspended’”, afirma a Kela.
A maioria dos domínios identificados segue um padrão de nomes semelhante, com uma palavra-chave como ‘secure’, ‘disable’, ‘protect’, ‘cancel’, ‘authorize’, ‘terminate’, ‘credentials’ ou ‘commercial’, seguida de um hífen e do nome do banco-alvo.
“Um grupo menor e crescente usa nomes como help-desk, live-support, treasury-portal e ‘primary device’, construídos com o nome do banco. Cerca de metade dos 49 domínios que entraram no ar na semana até 25 de outubro usa esses modelos, incluindo réplicas de help-desk e de chat ao vivo do JPMorgan, do Citi, do BMO e do Santander”, afirma a Kela.
Embora a empresa de cibersegurança não tenha descoberto como as vítimas são atraídas para as páginas de phishing, concluiu que a campanha tem como alvo, em grande parte, logins de bancos empresariais e de tesouraria, e não contas pessoais.
Visitantes de primeira viagem recebem páginas com a identidade visual do banco-alvo, que pedem ID de usuário e senha e podem exibir um reCAPTCHA.
O título da aba, “Attention required” (“Atenção necessária”), copia o nome da página de desafio da Cloudflare, enquanto um script na página bloqueia as ferramentas de desenvolvedor do navegador.
Quem volta à página é direcionado a uma tela com a mensagem “This account has been suspended” (“Esta conta foi suspensa”), que copia o aviso exibido por provedores de hospedagem após o encerramento de uma conta.
“Esse design tem como alvo exatamente as pessoas que poderiam derrubar um site. Uma vítima normalmente acessa o link uma única vez. Um scanner, uma equipe de segurança ou um provedor de derrubada verifica um site denunciado e, em seguida, o checa novamente para confirmar. A segunda verificação mostra o que parece ser uma derrubada concluída. Na prática, um provedor de derrubada pode marcar um domínio falso como fora do ar enquanto ele ainda entrega a página de phishing a novos visitantes. Para ver o conteúdo real, é preciso um novo endereço IP a cada verificação”, afirma a Kela.
Embora a falsa página de conta suspensa tenha sido vista em vários domínios de phishing, alguns deles exibiam outros avisos falsos, enquanto outros redirecionavam para o Google. Isso impede que serviços públicos de varredura capturem a campanha completa.
Os domínios ficam por trás da Cloudflare, mas alguns resolveram brevemente para seus servidores reais. Isso permitiu à Kela rastrear a hospedagem verdadeira e descobrir que a campanha também atinge vítimas no Reino Unido, na Austrália e na Nova Zelândia.
“Quatro fatores tornam essa infraestrutura difícil de conter: uma fórmula de nomenclatura simples o bastante para ser repetida em qualquer banco; a Cloudflare, que oculta onde os sites estão hospedados; um kit que exibe uma falsa tela de ‘conta suspensa’ para quem verifica duas vezes, de modo que um domínio ativo pode parecer inativo; e servidores compartilhados que sobrevivem a qualquer domínio isolado”, afirma a Kela.
