Pesquisadores de cibersegurança divulgaram detalhes de uma campanha de fraude em larga escala que envolve a criação de sites falsos de grandes empresas russas com o objetivo de desviar recursos de companhias internacionais há mais de nove anos.
Segundo a empresa russa de cibersegurança F6, os threat actors montaram sites clonados de companhias russas dos setores de fabricação de fertilizantes, petroquímica, metalurgia, logística e bancos.
A operação está em andamento desde 2017.
“A maior parte do conteúdo desses sites fraudulentos foi copiada dos sites legítimos das empresas.
Alguns também usaram domínios visualmente semelhantes”, afirmou a empresa em um relatório.
“Esses sites falsos, disponíveis em inglês, francês, árabe e russo, eram usados para atingir clientes internacionais e roubar pagamentos antecipados por mercadorias que não existiam.”
A análise indica que o esquema fraudulento de pré-pagamento tem como alvo principal organizações em países da Comunidade dos Estados Independentes (CIS), com foco específico no setor B2B e no comércio internacional.
Para isso, os criminosos usam ligações frias, campanhas de phishing por email e sites corporativos fraudulentos para iniciar contato com potenciais clientes e distribuir documentos comerciais que contêm os dados bancários de supostas empresas “subsidiárias”.
O golpe funciona ao induzir clientes em potencial a acessar os sites espelho, que têm informações de contato alteradas para direcionar as vítimas aos atacantes.
Em alguns casos, os threat actors contrataram representantes de vendas desavisados para fazer ligações frias.
Esses profissionais eram instruídos a encaminhar o cliente a um “gerente sênior” quando as negociações chegassem à fase final.
A partir desse momento, a comunicação com o cliente passava a ser feita pelos fraudadores, que enviavam propostas comerciais, contratos e faturas com dados bancários falsos, fazendo com que os pagamentos fossem desviados para os criminosos.
Uma empresa do Azerbaijão teria perdido US$ 150.000 em abril de 2025 após uma transação fraudulenta.
A investigação da F6 identificou quase 100 domínios falsos que imitavam empresas, além de vínculos entre parte da infraestrutura e campanhas anteriores.
O domínio mais antigo relacionado à atividade data de 2017.
A grande maioria dos domínios está associada aos seguintes endereços IP:
212.127.73[.]235
167.86.100[.]68
“Uma parte significativa da infraestrutura compartilha registros de DNS, endereços IP e outros dados de registro em comum, o que indica que esses sites fazem parte de uma única campanha coordenada”, afirmou Elena Shamshina, líder técnica do departamento de Threat Intelligence da F6, em comunicado.
A empresa disse que um esquema fraudulento semelhante ocorreu em 2017, quando uma companhia química russa começou a receber telefonemas de agricultores relatando atrasos na entrega de pedidos de fertilizantes pagos antecipadamente.
Os agricultores afirmavam estar de posse de contratos com assinaturas de pessoas que acreditavam ser representantes da empresa, embora, na realidade, nenhum acordo daquele tipo tivesse sido assinado.
Uma investigação mais aprofundada encontrou evidências de um esforço de brandjacking, no qual os golpistas criaram um site fraudulento, “www.agrocenter-eurohem[.]ru”, que era uma cópia virtual quase perfeita do site legítimo.
As únicas alterações estavam nos dados da conta bancária e nas informações de contato.
“Os atacantes também produziram propostas comerciais muito convincentes em papel timbrado oficial da empresa”, disse a F6.
“Embora os documentos parecessem autênticos, os dados de pagamento haviam sido substituídos por contas controladas pelos fraudadores.
Como resultado, clientes desavisados transferiram dinheiro por mercadorias que não existiam.”
A campanha é considerada internacional.
Embora as primeiras versões dependessem fortemente de domínios locais .ru, os domínios criados mais recentemente fazem uso intenso de TLDs como .com, .org e .net.
Esses sites estão disponíveis em russo, inglês, árabe e francês.
A F6 afirmou ainda ter descoberto um conjunto de documentos empresariais falsificados, que imitavam propostas comerciais, contratos e faturas com endereços de email corporativos falsos e dados bancários fraudulentos.
“A análise desses arquivos indica que os atacantes preparam um conjunto completo de documentação comercial projetado para sustentar a transação falsa e aumentar a confiança da vítima”, afirmou Vera Kolenikova, especialista sênior do departamento de Investigação de Cibercrime da F6.
“Como resultado, as vítimas perdem dinheiro, enquanto as empresas legítimas cujas marcas são abusadas sofrem danos à reputação.
Para negócios envolvidos em operações internacionais de importação e exportação, uma das medidas de segurança mais eficazes é verificar de forma independente as informações de contato e os dados de pagamento antes de transferir recursos.”
Talvez o aspecto mais preocupante da campanha seja o nível de replicação envolvido.
Depois que várias empresas vítimas publicaram alertas sobre a fraude em seus sites oficiais, os threat actors desconhecidos rapidamente copiaram esses avisos para suas páginas falsas e substituíram as referências aos domínios legítimos por domínios falsos sob seu controle.
Para reduzir o risco, as organizações devem adotar diligência prévia com parceiros comerciais usando fontes confiáveis e registros governamentais de empresas, garantir a legitimidade de subsidiárias e informações de contato, verificar o domínio do site do fornecedor e a data de registro, além de confirmar os dados de pagamento antes de transferir fundos.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...