A maioria dos kits de phishing de credenciais é automatizada do início ao fim: uma vítima chega a uma página de login clonada, digita um usuário e uma senha, e um script encaminha silenciosamente o que foi digitado para onde o atacante for verificar depois. A pesquisa da Abnormal AI, publicada em 25 de agosto e coberta pela Infosecurity Magazine, descreve algo construído com um projeto diferente. Uma plataforma chamada ZeroTokens coloca um ser humano do outro lado de cada sessão enquanto ela acontece, observando o que uma vítima digita e decidindo, tela por tela, o que essa vítima verá em seguida.
Um Console em Vez de uma Página Estática
O ZeroTokens mantém uma conexão persistente aberta entre a página de login falsa e um console de operador enquanto a vítima está conectada. Conforme um alvo digita um usuário, uma senha, um código de uso único, a plataforma retransmite essa entrada para o console em tempo real em vez de armazená-la para depois. Um operador ao vivo observando o fluxo então escolhe qual tela a vítima verá em seguida: uma verificação adicional, um pedido de foto da carteira de motorista, um campo pedindo uma senha de conta de trading. Se a primeira tentativa de código da vítima falhar, o operador simplesmente pode mostrar outro pedido e manter a sessão viva em vez de deixá-la morrer como aconteceria com um kit automatizado. Essa única decisão de projeto, uma pessoa tomando decisões passo a passo em vez de um script seguindo uma sequência fixa, é o que permite ao ZeroTokens se adaptar a atritos da mesma forma que um fluxo de login real faria.
Cinquenta e Três Instituições, Um Formulário Fiscal Como Desculpa
A campanha rastreada pela Abnormal AI enviou mais de 45.000 mensagens para mais de 24.000 destinatários em mais de 700 organizações, com cerca de 24.000 dessas mensagens enviadas em um único dia de pico. O pretexto era um pedido para revisar um W-8BEN, o formulário do IRS que titulares estrangeiros de valores mobiliários dos EUA precisam manter atualizado, direcionado a destinatários que plausivelmente tinham contas de corretagem nos Estados Unidos. Por trás desse pretexto havia bibliotecas de modelos cobrindo 53 instituições financeiras e 36 emissores de cartão, entre bancos e corretoras de várias regiões, e um fluxo de coleta de dados construído para captar credenciais de login, dados de identidade e de cartão, códigos de verificação por SMS, confirmações de aprovação por aplicativo e uma senha de trading separada. O próprio console tinha papéis distintos de super-admin e operador, o que levou a Abnormal AI a concluir com alta confiança que o ZeroTokens é uma ferramenta proprietária construída para o uso de um único grupo, em vez de um kit alugado para muitos clientes como funciona a maioria das plataformas de phishing como serviço.
Um Repasse ao Vivo Ainda É Só um Problema de Envio Para o DMARC
As mensagens que levaram as vítimas até esse console saíram de dez domínios remetentes roteados por meio de nove contas do SendGrid comprometidas, e passaram por SPF, DKIM e DMARC sem problema, porque o SendGrid é um serviço de e-mail legítimo com sua própria autenticação corretamente configurada, e o DMARC só verifica se o domínio no cabeçalho From tinha autoridade para usar a infraestrutura que o enviou. Ele não diz nada sobre quem está observando a sessão do outro lado de um link depois que um destinatário clica, nem sobre se um operador humano está repassando um código de uso único para a página de login real de um banco dentro dos poucos segundos em que esse código continua válido. Esse repasse, credenciais e códigos roubados alimentados ao vivo na instituição genuína enquanto a vítima acredita estar completando seu próprio login, é exatamente o tipo de fraude em tempo real que os protocolos de autenticação nunca foram projetados para enxergar, porque ela acontece inteiramente em infraestrutura e em uma sessão de navegador onde o DMARC não tem nenhuma visibilidade.
O Que Isso Significa Para o Seu Programa
Não presuma que códigos de uso único com tempo limitado estão a salvo de phishing só porque expiram rápido. Um operador ao vivo repassando um código para a instituição real dentro da janela de validade derruba toda a premissa de um OTP de curta duração da mesma forma que um proxy automatizado de adversário no meio faria, só que com uma pessoa em vez de um script fazendo o repasse.
Fique atento ao uso de serviços legítimos de e-mail transacional como infraestrutura de entrega de phishing. O SendGrid, como qualquer remetente em massa, vai passar por SPF, DKIM e DMARC para e-mails enviados por ele, então uma pilha de segurança precisa inspecionar a reputação do remetente e os padrões de campanha nesse nível de provedor, não apenas confiar que e-mail autenticado é e-mail seguro.
Trate páginas de phishing incomumente persistentes ou adaptativas como um sinal, não um incômodo. Uma página que continua pedindo de novo depois de uma tentativa de verificação falhar, em vez de simplesmente mostrar um erro, é um forte indício de um operador ao vivo do outro lado em vez de um kit estático, e essa distinção deveria mudar como uma equipe de segurança responde a um link reportado.
Construa canais de denúncia de usuários que capturem detalhes de comportamento, não só o link. Um usuário que diz “ele continuou pedindo coisas diferentes” depois de uma tentativa de código falhar está descrevendo exatamente o tipo de sessão adaptativa e operada por humanos que essa pesquisa documenta, e esse detalhe vale mais para um investigador do que a URL sozinha.
A Conclusão
O ZeroTokens é um lembrete de que as plataformas de phishing mais perigosas nem sempre são as que têm a infraestrutura tecnicamente mais sofisticada. Essa aqui tem sucesso ao colocar uma pessoa de volta em um processo que a indústria passou anos tentando automatizar por completo, porque um humano que percebe um código falho e simplesmente pergunta de novo vence um script que desiste. Nada disso tem qualquer relação com se o domínio que enviou o e-mail inicial tinha autoridade para fazê-lo, que é a única pergunta que o DMARC existe para responder e a única pergunta diante da qual um operador ao vivo observando sua sessão jamais seria detido.
O DMARC diz se um domínio tinha autoridade para enviar uma mensagem. Ele não consegue dizer se um ser humano está observando a sessão para a qual seu clique leva e direcionando-a em tempo real. O Excello Mail transforma seus relatórios agregados de DMARC em um registro claro e contínuo de cada serviço, incluindo remetentes em massa como o SendGrid, enviando em nome do seu domínio, para que a camada que a autenticação realmente cobre continue vigiada enquanto sua equipe constrói as defesas para tudo o que um operador ao vivo pode fazer além do clique. Cadastre-se gratuitamente no Excello Mail e deixe essa base pronta.