Resumo do caso e alcance
Os pesquisadores do Google apontam que a plataforma Lighthouse vitimizou mais de um milhão de pessoas em mais de 120 países. A empresa identifica ao menos 107 modelos de sites fraudulentos que replicavam telas de login com a marca do Google e coletavam credenciais e dados financeiros.
Além disso, o relatório citado pelo Google afirma que a operação roubou entre 12,7 milhões e 115 milhões de cartões de crédito apenas nos Estados Unidos — um intervalo fornecido pelas fontes e reproduzido na cobertura (a fonte original não detalha como foi obtida essa estimativa).
Como o Lighthouse opera
Lighthouse funciona como um serviço completo para criminosos: fornece templates personalizáveis (incluindo telas que imitam marcas como E‑ZPass e USPS), infraestrutura de backend para gerência de vítimas e coleta de credenciais, além de painéis que permitem lançar campanhas de SMS em larga escala. A facilidade de uso reduz a barreira técnica para operadores com pouca experiência.
Resposta legal e técnica
O Google fundamenta a ação em múltiplas leis, incluindo o RICO (Racketeer Influenced and Corrupt Organizations Act), a Lanham Act (marca) e o Computer Fraud and Abuse Act. Paralelamente, a empresa afirma estar ampliando medidas defensivas, como sistemas de detecção com IA para mensagens suspeitas e opções de recuperação de conta para ajudar usuários comprometidos a recuperar acesso com mais segurança.
Impacto para organizações e usuários
A escala do kit demonstra a eficiência dos serviços de phishing-as-a-service para ampliar fraudes via SMS (smishing). Organizações que dependem de comunicações por SMS para notificações transacionais devem reforçar verificações de link, autenticação multifator e fluxos seguros de recuperação de conta. Usuários são orientados a desconfiar de links em mensagens e verificar destinos antes de inserir credenciais ou dados financeiros.
Limites das informações
A cobertura reproduz os números e as medidas anunciadas pelo Google; contudo, detalhes sobre a infraestrutura técnica do Lighthouse, identidade dos operadores ou eficácia das medidas de mitigação a longo prazo não estão completamente expostos nas informações públicas citadas.
Fonte: Google / Cyber Security News