Golpes de Phishing no Facebook Oferecem Descontos Falsos em Transportes Públicos

Uma operação sofisticada de phishing está explorando descontos em transportes públicos para roubar dados financeiros de usuários do Facebook na Europa. O golpe, ativo desde o início de 2024, utiliza contas comprometidas e anúncios pagos para promover ofertas falsas de autoridades de transporte com aparência legítima.

Os criminosos criam posts e anúncios oferecendo descontos de 50% a 100% em passes mensais ou anuais, alegando ser parte de 'iniciativas de sustentabilidade' ou 'programas de subsídio governamental'. Ao clicar, as vítimas são levadas a sites clonados que imitam perfeitamente os portais oficiais, incluindo certificados SSL e design responsivo.

Análises técnicas revelam que os kits de phishing usados possuem várias técnicas de evasão:

• Algoritmos de geração de domínios criam subdomínios novos a cada hora
• Proteção do Cloudflare para esconder a infraestrutura de hospedagem
• Scripts de form-jacking que extraem dados em tempo real
• Geofencing para atingir apenas usuários em cidades europeias específicas

As páginas de pagamento solicitam dados completos de cartão de crédito, cópias de documentos e até selfies com os cartões - informações que permitem fraudes financeiras e roubo de identidade. Algumas variantes instalam malware através de aplicativos falsos de 'validação de bilhetes' distribuídos após o pagamento.

Equipes de segurança destacam que a eficácia do golpe vem do timing (próximo aos períodos de renovação mensal de passes) e gatilhos psicológicos (criando urgência com alegações de 'oferta limitada'). Os criminosos testam diferentes narrativas, incluindo falsos programas de auxílio pós-COVID e subsídios para 'mobilidade verde'.

O time de segurança do Facebook já removeu centenas dessas páginas fraudulentas, mas novas surgem constantemente. A plataforma permite que os golpistas segmentem precisamente passageiros de cidades específicas que seguem páginas relacionadas a transporte.

Recomendações para empresas:

1. Implementar regras para bloquear pagamentos em domínios recém-registrados
2. Usar detecção em nível de rede para identificar assinaturas de kits de phishing conhecidos
3. Realizar testes simulados de phishing com temas de transporte público
4. Monitorar mercados na dark web por dados de cartões corporativos
5. Considerar soluções dedicadas de pagamento para transporte corporativo

A campanha mostra como criminosos exploram preocupações com custo de vida e iniciativas sustentáveis em ataques de engenharia social. Táticas similares já atingiram subsídios para carros elétricos e programas de bicicletas compartilhadas.