O Google tomou medidas legais para desmantelar uma rede de phishing como serviço (PhaaS) provavelmente operada na China à medida que os ataques de phishing (smishing) por SMS aumentam.
Em 12 de novembro, a gigante de tecnologia dos EUA entrou com um pedido de uma ação civil no Distrito Sul de Nova York contra 25 indivíduos não identificados descritos como “cibercriminosos estrangeiros que se envolveram em ataques de phishing implacáveis contra milhões de vítimas inocentes, incluindo clientes do Google, para roubar informações pessoais e financeiras”.
Esse grupo de pessoas é acusado de executar o ‘Lighthouse’, um kit PhaaS usado por agentes de ameaças cibernéticas para gerar e implantar ataques massivos de smishing.
Em uma declaração acompanhando o processo, Halimah DeLaine Prado, conselheira geral do Google, disse que o kit estava vinculado a pelo menos 107 modelos de sites com a marca do Google nas telas de login. Esses sites fraudulentos são projetados especificamente para induzir as pessoas a acreditar que os sites são legítimos.
Farol e a ‘Tríade Smishing’
O Lighthouse tem sido usado para implantar ataques de smishing, especialmente por um coletivo vagamente vinculado, às vezes chamado de ‘Tríade de Smishing’, visando as principais organizações financeiras e bancos ocidentais na Austrália, bem como na região mais ampla da Ásia-Pacífico (APAC).
De acordo com um relatório Silent Push de abril de 2025, o coletivo Smishing Triad está em operação desde 2023, mas a versão mais recente do kit Lighthouse foi revelada no Telegram em 18 de março de 2025.
Os alvos dos ataques da Tríade de Smishing abrangem vários setores, incluindo correios, logística, telecomunicações, transporte, finanças, varejo e setores públicos.
No processo, o Lighthouse é descrito como um kit de “phishing para manequins” para cibercriminosos que não poderiam executar uma campanha de phishing em larga escala.
O kit supostamente oferece mais de 600 modelos para sites fraudulentos de phishing, “cada um projetado para se assemelhar ao site legítimo de uma das mais de 400 entidades ou instituições”, alegou a denúncia.
Os usuários do Lighthouse podem filtrar e pesquisar modelos por região geográfica, país, site oficial e tempo de atualização. Pelo menos 116 modelos apresentam um logotipo do Google (YouTube, Gmail, Google ou Google Play) na tela de login, disse a gigante da tecnologia.
O kit teria sido usado para lançar 32.094 distintos Serviço Postal dos EUA (USPS) sites de phishing – com uma média de 50.000 visitas à página – de julho de 2023 a outubro de 2024.
DeLaine Prado, do Google, também afirmou que o Lighthouse tem como alvo mais de um milhão de pessoas em mais de 121 países.
“O golpe é simples: os criminosos enviam uma mensagem de texto, solicitando que os destinatários cliquem em um link e compartilhem informações como credenciais de e-mail, informações bancárias e muito mais. Eles exploram a reputação do Google e de outras marcas, exibindo ilegalmente nossas marcas e serviços em sites fraudulentos”, explicou DeLaine Prado.
No documento, o Google também disse que o Lighthouse opera como um hub sofisticado, onde equipes especializadas, desde coletores de dados a spammers de SMS e corretores de dados roubados, colaboram por meio de fóruns dedicados para implantar, refinar e monetizar ataques de phishing em larga escala.
O Google determinou que encerrar a operação do Lighthouse exigirá esforços persistentes e de longo prazo devido à sua natureza altamente adaptável e descentralizada, onde o grupo pode dinamizar rapidamente a infraestrutura e lançar novas campanhas de phishing com recursos mínimos.
Google apoia três projetos de lei nos EUA para fortalecer a repressão a golpes
Além de tomar medidas legais, que disse que podem abordar uma única operação, o Google também defendeu políticas públicas mais amplas para lidar com a ameaça mais ampla de golpes de phishing e smishing.
A gigante da tecnologia anunciou que está endossando três projetos de lei bipartidários no Congresso dos EUA:
- Lei de Proteção de Aposentados Desprotegidos contra Enganos (GUARD), que o Google disse que “capacitaria as autoridades estaduais e locais, permitindo que utilizassem fundos federais para investigar fraudes financeiras e golpes direcionados especificamente a aposentados”
- Lei de Eliminação de Chamadas Automáticas Estrangeiras, que “estabeleceria uma força-tarefa focada na melhor forma de bloquear chamadas automáticas ilegais de origem estrangeira antes que cheguem aos consumidores americanos”
- Lei de Responsabilidade e Mobilização de Compostos de Golpes (SCAM), que “desenvolveria uma estratégia nacional para combater compostos de golpes, aumentar as sanções e apoiar os sobreviventes do tráfico de pessoas dentro desses compostos”
A gigante da tecnologia também anunciou o lançamento de novos recursos de prevenção de golpes, incluindo sistemas de sinalização com inteligência artificial para mensagens fraudulentas, como taxas falsas ou entregas de pacotes, bem como a expansão das opções de recuperação de conta com Contatos de Recuperação – a opção de pedir a um amigo ou membro da família para recuperar sua conta.