Descoberta e escopo
A campanha foi detectada pela monitoração de ecossistemas criminosos da Group-IB. O framework é direcionado contra clientes do provedor italiano Aruba — que a matéria referencia como fornecedor de mais de 5,4 milhões de clientes — e replica de forma convincente a página de login do Aruba.it para capturar credenciais.
Processo técnico e etapas da fraude
O kit opera em quatro estágios. Primeiro, os alvos recebem spear-phishing com mensagens que criam senso de urgência (serviço expirando, pagamento falhado) e são levados a uma página com CAPTCHA, usada como filtro anti-bot para impedir scanners automáticos. Após superar o CAPTCHA, a vítima encontra uma réplica do login Aruba com o campo de e‑mail pré‑preenchido, aumentando a sensação de legitimidade.
Se as credenciais são inseridas, elas são enviadas imediatamente aos operadores. Em seguida aparece uma página de pagamento fraudulenta pedindo dados de cartão para uma taxa de renovação, tipicamente em torno de €4,37, seguida por uma página falsa de 3D Secure que captura o código OTP do banco. Todo o conjunto — credenciais, dados de cartão e OTP — chega aos atacantes via chats/bolsões em Telegram, onde bots processam ou notificam em tempo real.
Impacto e alvo potencial
Ao visar um fornecedor de serviços com milhões de clientes, o kit pode permitir acesso a domínios, e‑mail corporativo e sistemas hospedados dos alvos, dependendo do nível de privilégio das contas comprometidas. A matéria não fornece contagem de vítimas confirmadas ou amostragem por setor; descreve o potencial de acesso a ativos críticos hospedados por Aruba.
Mitigações
- Validar autenticação multifator robusta (MFA) para portais de e‑mail e gestão de domínios; MFA reduz o impacto de credenciais roubadas.
- Monitorar tentativas de login anômalas e uso de credenciais em IPs geograficamente discrepantes.
- Implementar proteção contra fraude para fluxos de pagamento e campanhas de awareness para usuários sobre páginas de pagamento clonadas e solicitações de OTP.
- Bloquear recepção de dados sensíveis por canais externos não corporativos (ex.: Telegram) quando possível, e monitorar menções de tokens/OTP em canais públicos ou semi‑privados.
Limites das informações
A Group-IB documenta o kit e seu fluxo, mas a matéria não traz métricas de impacto (número de credenciais capturadas, contas comprometidas ou perdas financeiras confirmadas). Também não há indicação de zero‑day ou exploração de vulnerabilidade técnica; o sucesso depende da engenharia social e da qualidade da réplica das páginas.
Contexto
O caso ilustra a maturidade do modelo phishing‑as‑a‑service: kits pré‑construídos, com anti‑bot, integração com Telegram para exfiltração e tokens de pagamento simulados, reduzem a barreira técnica para campanhas em escala. Para provedores como Aruba, a resposta passa por MFA, detecção de abuso de contas e colaboração com equipes de fraude bancária para monitorar transações atípicas.
Fontes citadas: Group-IB; reprodução em Cyber Security News.