Modus operandi

Kit de phishing: a página perfeita não diz nada sobre quem está do outro lado

A página caprichada virou assinatura mensal com suporte. Isso muda o que dá para concluir de um indicador compartilhado, e quase nenhum laudo trata disso.

Por Julio Cesar Madeira Soares, Perito em Investigação Digital e Segurança da Informação.
Publicação prevista para 6 de abril de 2027

A página estava perfeita.

Logotipo certo, tipografia certa, cadeado no navegador, certificado válido, nenhum erro de português. O cliente olhou com atenção, do jeito que ensinaram que deve olhar, e não viu nada.

A conclusão intuitiva é que do outro lado havia gente muito boa. E é aí que quase todo mundo erra, porque a página caprichada não diz nada sobre quem está do outro lado. Ela diz sobre quem vendeu.

O que exatamente se compra

O kit de phishing é software de prateleira, vendido por assinatura.

O pacote típico não é só a página falsa. Vem com painel de administração para acompanhar as vítimas em tempo real, biblioteca de modelos das marcas mais visadas, instruções de instalação, suporte e, em vários casos, um bot de Telegram que faz a venda e a entrega sozinho, sem que comprador e vendedor troquem palavra. Alguns operadores mantêm grupo fechado onde respondem dúvida de cliente sobre registrar domínio e sobre contornar controle específico.

É helpdesk. De crime, mas é helpdesk.

Os valores que circulam em levantamentos internacionais dão a dimensão: kits simples aparecem por menos de 25 dólares, assinatura de kit voltado a contas corporativas sai por volta de 200 dólares por mês sem contorno de segundo fator e 400 com, e há serviços auxiliares, como bots que ligam para a vítima para arrancar o código, cobrados por semana. São preços indicativos, apurados fora do Brasil, e servem só para mostrar a ordem de grandeza. O ponto não é o número.

O ponto é que nada disso exige saber programar.

O que isso quebra, e é o conselho que todo mundo repete

Três recomendações clássicas morreram de uma vez, e vale dizer isso com todas as letras porque elas continuam sendo repetidas em campanha de conscientização.

“Procure erro de português.” O modelo vem pronto e revisado. Quando não vem, existe tradutor automático bom e de graça.

“Veja se tem cadeado.” Certificado é gratuito e automático desde que a emissão se popularizou. O cadeado diz que a conexão está cifrada, não que o site é quem diz ser. Nunca disse.

“Olhe se o layout está estranho.” No tipo de kit que veremos a seguir, o layout não está estranho porque é o layout verdadeiro, servido em tempo real a partir do site real.

Sobra uma regra só, e ela é chata justamente por não ter exceção: não se chega ao banco por link. Digita o endereço ou abre o aplicativo. Qualquer coisa diferente disso é aposta.

O terceiro jeito de o segundo fator cair

Este site já tratou de dois. Vale juntar os três aqui, porque só juntos eles mostram o tamanho do problema.

No infostealer, o malware rouba o cookie de sessão depois do login, e esse cookie já carrega a verificação do segundo fator. No SIM swap, o criminoso toma a linha de telefone e passa a receber o código. O terceiro é o kit, e ele funciona por retransmissão.

Kit de retransmissão, o que se chama de adversário no meio. Não é uma página falsa estática que só coleta o que a vítima digita. É um proxy reverso. A vítima acessa o endereço do kit, e o kit busca a página verdadeira no banco e devolve para ela, repassando tudo nos dois sentidos em tempo real. A vítima vê a página verdadeira porque é a página verdadeira. Digita a senha, recebe o desafio de segundo fator de verdade, aprova no aplicativo de verdade, e o serviço então emite o cookie de sessão. O proxy fica com uma cópia.

Repare que nada foi quebrado. A senha estava certa, o segundo fator funcionou, a autenticação foi legítima. O que falhou não foi nenhum controle: foi o pressuposto de que a vítima estava falando direto com o banco.

Levantamentos de 2025 mostram esse formato dominando o mercado de kits, com três nomes concentrando a maior parte dos casos observados. Não vale a pena decorar nome de kit, porque eles se sucedem depressa. O formato é que importa, e o formato é estável.

O tamanho disso no Brasil, e uma surpresa na divisão

O CERT.br acompanha páginas falsas e publica a estatística, atualizada todo mês. Entre janeiro e agosto de 2026 foram 4.013 páginas acompanhadas, sendo 3.343 contra organizações brasileiras e 670 contra organizações no exterior, hospedadas em 2.395 endereços de 242 sistemas autônomos diferentes.

A divisão por categoria é onde está a surpresa, e ela desmonta a intuição de que isso é assunto de banco:

Financeiro e varejo estão praticamente empatados. Somando financeiro com pagamentos, que é o recorte mais generoso possível para o assunto deste site, dá menos de um terço do total. Governo aparece em terceiro, com 733 páginas, e isso conversa diretamente com a isca de falsa intimação judicial que aparece na campanha de 2026 citada adiante.

Essa distribuição é a melhor prova de que o kit não é ferramenta bancária. É ferramenta. Quem compra aponta para onde quiser, e aponta para tudo.

O jeito brasileiro, que é o operador ao vivo

Aqui tem uma variação local que muda o que se procura na prova, e ela já é antiga.

Em 14 de janeiro de 2021, duas semanas depois de o Pix entrar no ar, uma análise pública descreveu um kit encontrado num site invadido que já fazia isso. O painel lista as vítimas conectadas por endereço de origem, com sistema, navegador, provedor e horário, e o criminoso libera ou bloqueia cada uma. De dentro do painel ele empurra comandos para a página daquela vítima específica, botão a botão: pede o apelido, pede a senha eletrônica, pede o token, reinicia a sessão. E a página guarda o último estado definido pelo operador, de modo que a vítima continua ali mesmo se atualizar a tela.

O detalhe que mais impressiona é o que o kit fazia com o QR code. Com a credencial já roubada, o criminoso pedia ao banco um QR code de liberação, mandava esse QR code para a vítima pela própria página falsa, a vítima lia com o aplicativo verdadeiro do banco, o aplicativo gerava um código, e ela digitava esse código de volta na página falsa. O criminoso então usava o código no site legítimo, como se fosse o dono da conta.

Repare no que isso é: adversário no meio operado à mão, em 2021, anos antes de o formato virar produto de prateleira. Muda só quem faz a retransmissão, se uma pessoa ou um proxy.

E isso não ficou em 2021. Em abril de 2026 foi documentada campanha brasileira que usa falsa intimação judicial como isca e instala um programa que transmite a tela da vítima, com operador humano do outro lado esperando o portal do banco abrir para agir. Os alvos descritos incluem os maiores bancos do país.

A consequência prática é de prova, e é ignorada com frequência. Quem imagina phishing como robô disparando e colhendo procura vestígio de automação. No modelo brasileiro tem gente olhando, e isso deixa marca diferente: o ritmo da interação é humano, tem hesitação, tem pausa, tem resposta que só faz sentido se alguém estava lendo a tela naquele instante. Essa cadência, quando os registros a preservam, é um dos poucos achados que aponta para conduta e não para ferramenta.

A parte que importa no laudo, e quase ninguém trabalha

Chegamos ao que, para quem lida com processo, é o assunto central deste texto.

O kit é compartilhado. O mesmo produto é vendido para muita gente sem relação nenhuma entre si, e roda em campanhas independentes ao mesmo tempo. A própria literatura de investigação registra isso: um mesmo kit aparece associado a grupos distintos, e a atribuição raramente se resolve por um indicador só, precisando de correlação entre várias classes de vestígio.

Traduzindo para a linguagem de perícia: indicador compartilhado não individualiza.

Se o laudo aponta que duas páginas usam o mesmo modelo, o mesmo caminho de painel, a mesma estrutura de diretórios ou o mesmo provedor, ele demonstrou que os dois casos usaram a mesma ferramenta. Não demonstrou que tiveram o mesmo autor. A distância entre uma coisa e outra é exatamente a distância entre comprar o mesmo software e ser a mesma pessoa.

A armadilha tem mão dupla, e a inversa engana mais:

• Indicadores iguais não provam autor comum, porque o kit é o mesmo para todos os compradores
• Indicadores diferentes não provam autores diferentes, porque o mesmo operador troca de kit, e troca com frequência, conforme o que está sendo detectado

Então o que separa? O que o comprador configurou, não o que veio na caixa.

Cada instalação precisa ser apontada para algum lugar, e é ali que mora o que individualiza: o endereço para onde os dados colhidos são enviados, o identificador do bot ou do canal que recebe, as credenciais do painel, o registro do domínio e de quem pagou por ele, a hospedagem contratada e, acima de tudo, a conta que recebeu o dinheiro no fim da linha, que é o assunto de conta laranja.

Daí sai o quesito certo, e ele é bem diferente do que costuma ser formulado:

Quais vestígios encontrados são específicos desta instalação e quais são próprios do kit tal como distribuído a qualquer comprador? Para cada vestígio apontado como elemento de ligação entre os casos, informar em qual dos dois grupos ele se enquadra.

Um perito honesto responde a isso sem dificuldade. Um laudo que confunde os dois grupos não sobrevive à pergunta, e o modo de ler isso está em como ler um laudo. O conjunto completo de quesitos está em quesitos para perícia.

O enquadramento penal, e existe uma lacuna real

Vale tratar com cuidado, porque a resposta não é a que parece à primeira vista.

A fraude praticada com o kit é estelionato por fraude eletrônica, do art. 171, §2º-A do Código Penal. Isso não tem mistério e já foi tratado aqui.

A dúvida é sobre quem vende o kit. O art. 154-A, §1º pune quem produz, oferece, distribui, vende ou difunde dispositivo ou programa de computador com o intuito de permitir a prática da conduta definida no caput. E a conduta do caput é invadir dispositivo informático de uso alheio.

Aqui está o problema. O kit de phishing, na forma mais comum, não invade dispositivo nenhum. Ele monta uma página que engana uma pessoa, e a pessoa digita. O dispositivo da vítima não é violado, ele é usado normalmente pelo dono. Se o tipo do §1º está amarrado à finalidade de permitir invasão, a venda do kit puramente enganoso fica fora dele, e a responsabilização de quem vende precisa passar por concurso de pessoas, do art. 29, o que exige ligar o vendedor a fraudes concretas. Ou seja, exige exatamente aquilo que o compartilhamento do kit dificulta.

A leitura muda quando o kit também instala programa na máquina da vítima, como no caso brasileiro de 2026 citado acima. Aí se volta ao caput, e o §1º passa a ser discutível de verdade.

Isso é leitura do tipo penal, não posição de tribunal, e é declarado como leitura de propósito. Mas a lacuna parece real e merece ser enfrentada por quem trabalha com o tema, em vez de citada de passagem.

O que fazer

Se você é a pessoa do outro lado da isca:

1. Não chegue ao banco por link. Nunca. Nem por link que parece certo. Digite o endereço ou use o aplicativo, sempre.
2. Confirme pelo canal que você escolheu, não pelo que chegou até você. Se veio mensagem dizendo que há intimação, pendência ou bloqueio, abra o canal oficial por conta própria e veja se existe.
3. Se você já digitou, encerre as sessões ativas antes de trocar a senha. Nessa ordem, pelo motivo explicado em infostealer.
4. Preserve a página no momento em que você a vê. Salve o endereço completo, a página inteira e o certificado, e anote o horário. Não é que toda página falsa suma rápido, e os dados do CERT.br mostram isso: entre janeiro e agosto de 2026, um quarto delas saiu do ar em até oito horas, enquanto mais de um terço ficou mais de uma semana no ar. O problema é que você não tem como saber em qual dos dois grupos a sua está. Vale a disciplina de cadeia de custódia, com hash na origem.

Se você opera a instituição:

1. Fator resistente a phishing é o único que o proxy não retransmite. Chave de segurança e passkey ficam presas ao endereço verdadeiro e simplesmente não funcionam na página do kit. Código digitado, qualquer que seja a origem, o proxy repassa.
2. Amarre a sessão ao dispositivo. Cookie válido reaparecendo de outro aparelho e de outro endereço é sinal, e é sinal disponível na hora.
3. Trate derrubada de página falsa como coleta, não só como remoção. A cópia do kit antes da derrubada é o material que permite separar o que é da ferramenta do que é do operador. Derrubar sem copiar resolve o incidente e destrói a investigação.

A página estar perfeita parou de ser informação sobre o adversário. Virou informação sobre o fornecedor dele. E confundir as duas coisas custa caro, no conselho que se dá à vítima e, principalmente, na conclusão que se assina num laudo.