Em junho, o Google processou os operadores por trás do Outsider, um kit de phishing como serviço ligado a um agente de ameaça conhecido como ChenLun, e a Divisão Cibernética do FBI abriu a Operação Ghost Hook no dia seguinte para desmontá-lo. Servidores confiscados. Uma loja no Shopify ligada à operação retirada do ar. Cerca de US$ 100 mil retirados de suas carteiras de pagamento. Milhares de domínios registrados por meio de provedores dos Estados Unidos entregues. No papel, é exatamente essa a aparência que uma operação de desmantelamento de phishing deveria ter. A pesquisa da Group-IB, publicada em 3 de setembro, descobriu o que realmente aconteceu depois: mais de 700 novos domínios de phishing, criados por afiliados que nunca perderam o acesso ao próprio kit.
Um Kit Construído Para Sobreviver ao Próprio Vendedor
Antes da operação, o Outsider já funcionava em escala industrial. A Group-IB rastreou mais de 100 mil páginas de phishing em 54 ou mais países entre dezembro de 2025 e maio de 2026, construídas a partir de uma biblioteca de 267 modelos que se passavam por bancos, transportadoras e grandes marcas online. O Google, por sua vez, detectou mais de 1,5 milhão de URLs de phishing ligadas ao kit entre novembro de 2025 e abril de 2026, e já havia associado mais de 10 mil domínios únicos a ele antes do início da Operação Ghost Hook.
O verdadeiro produto do kit nunca foi um único site. Era uma assinatura. A ChenLun distribuía o Outsider por meio de um ecossistema no Telegram: um canal de anúncios para atualizações, um grupo exclusivo para afiliados que haviam pago pelo acesso, um grupo público de discussão e um bot que cuidava das compras e respondia perguntas automaticamente. Cada afiliado alugava o software, gerava suas próprias páginas de phishing a partir da biblioteca de modelos e registrava seus próprios domínios. O vendedor construiu a ferramenta. Milhares de operadores independentes forneceram a infraestrutura.
O Outsider também tem capacidade de adversário no meio, ou AiTM: consegue se posicionar entre a vítima e o fluxo de login real, servindo dinamicamente o tipo de desafio de autenticação multifator que a conta daquela vítima realmente usa, seja um código por SMS, uma senha de uso único por e-mail, um PIN ou uma notificação de aplicativo autenticador, e pode redirecionar as vítimas a etapas anteriores para pedir mais dados de cartão de pagamento. É isso que torna o kit valioso o bastante para sobreviver a uma operação federal: ele não rouba apenas uma senha, captura o segundo fator no exato momento em que um real é emitido.
O Que a Operação Ghost Hook Realmente Removeu
A ação do FBI mirou tudo aquilo que uma apreensão policial é feita para alcançar: servidores centralizados, uma loja de comércio, uma reserva de dinheiro e domínios registrados por provedores sujeitos ao processo legal americano. Cada um desses é um ponto único, que existe em um só lugar, sob o controle de uma única entidade.
Nada disso toca a parte do negócio que gera novos domínios de phishing. Cada afiliado que já havia pago pelo acesso ainda tinha o software, os modelos e o canal do Telegram avisando que o kit continuava ativo. As descobertas da Group-IB de setembro mostram exatamente o que isso significou na prática: mais de 700 domínios adicionais registrados e colocados em uso depois da apreensão, operados por afiliados que nunca foram citados no processo e cujas contas nunca foram tocadas pela Operação Ghost Hook. A infraestrutura do vendedor caiu. A rede de afiliados não.
Por Que o DMARC Nunca Teve Um Domínio Para Proteger Aqui
Vale a pena ser preciso sobre o que o DMARC cobre e o que não cobre em um caso como este, porque as duas coisas se confundem facilmente. O DMARC protege o próprio nome de um domínio contra falsificação no cabeçalho From de um e-mail. Se um atacante tentar enviar e-mail alegando vir do seu domínio, e seu domínio aplicar DMARC com p=reject, essa mensagem é rejeitada antes de chegar a uma caixa de entrada.
Não é isso que os 700 novos domínios do Outsider fazem. Não são versões falsificadas do domínio de envio real de um banco ou de uma transportadora. São domínios totalmente novos que os próprios afiliados registraram, servindo como a página de destino para a qual uma vítima é atraída, tipicamente por SMS, embora os mesmos modelos e o mesmo mecanismo AiTM funcionem de forma idêntica atrás de um link entregue por e-mail. O DMARC não tem jurisdição sobre um domínio que ninguém está personificando em um cabeçalho From. Ele não consegue sinalizar como suspeito um domínio imitador recém-registrado, e não tem nada a dizer sobre o que a página de login daquele domínio faz com o código multifator que uma vítima digita nela. Toda essa cadeia, do isca até a captura da credencial e o repasse de MFA em tempo real, acontece na camada depois daquela que o DMARC inspeciona.
O Que Isso Significa Para o Seu Programa
Não trate um processo judicial ou uma operação de desmantelamento como o fim de uma exposição. A Operação Ghost Hook removeu a infraestrutura central do vendedor, não a rede de afiliados que usa o kit. Continue monitorando domínios imitadores e páginas de phishing que se passem pela sua marca bem depois de qualquer ação das autoridades virar manchete.
Mantenha a aplicação do DMARC focada no que ele realmente consegue impedir. Uma política estrita de p=reject nos seus próprios domínios de envio fecha a porta para cabeçalhos From falsificados. Ela nunca vai enxergar um domínio recém-registrado que nunca alegou ser seu, então não pode ser sua única defesa contra a personificação de marca.
Trate o AiTM como uma ameaça de MFA em tempo real, não apenas como roubo de credenciais. Um kit que serve dinamicamente desafios por SMS, e-mail, PIN e aplicativo foi criado especificamente para vencer a suposição de que a autenticação multifator torna uma senha roubada inofensiva.
Fique atento a infraestruturas de phishing que sobrevivem à prisão do próprio operador. Um modelo de assinatura com milhares de afiliados independentes significa que uma única ação legal, por maior que seja, só remove um nó dentro de uma rede muito maior.
A Conclusão
A Operação Ghost Hook causou dano real: servidores reais confiscados, dinheiro real recuperado, uma loja real fechada. O que ela não conseguiu fazer foi alcançar 700 contas de afiliados que nunca tocaram na infraestrutura apreendida e impedi-las de registrar novos domínios naquela mesma tarde. Essa lacuna entre a entidade que um processo consegue nomear e a rede que continua operando sem ela é a mesma lacuna ao lado da qual o DMARC sempre esteve, não dentro dela. O DMARC protege o nome que os atacantes tentam roubar. Ele nunca foi criado para enxergar o nome que eles inventam no lugar.
O DMARC confirma se uma mensagem que alega vir do seu domínio realmente tinha autoridade para enviá-la. Ele não pode te dizer quando a rede de afiliados de um kit de phishing registrou 700 novos domínios imitadores, nem que um desses domínios está executando um repasse em tempo real contra o segundo fator que seus destinatários usam. A Excello Mail transforma seus relatórios agregados de DMARC em um registro claro e contínuo de cada domínio e serviço que envia em seu nome, para que sua própria autenticação permaneça sólida enquanto sua equipe fica de olho na personificação que acontece em uma infraestrutura que o DMARC nunca foi feito para ver. Cadastre-se gratuitamente na Excello Mail e construa essa base.