Criminosos liberam um milhão de cartões roubados para promover serviço ilegal

Que melhor maneira de divulgar um produto ou serviço do que dar aos potenciais clientes uma amostra grátis? Foi essa a abordagem aplicada por criminosos digitais que, na divulgação de um novo marketplace de carding chamado All World Cards, liberaram publicamente na internet os dados de um milhão de cartões de créditos roubados, para que sejam usados livremente por outros bandidos.

• Queda nos casos de phishing indica que criminosos estão buscando outros caminhos
• Só faltava essa: novo ciberataque é capaz de espionar pelo LED da caixa de som
• Três palavras podem ser mais fortes que sua senha atual; entenda o motivo

Os dados, segundo eles, foram obtidos entre 2018 e 2019, com clientes de dezenas de países. De acordo com os próprios criminosos, a análise de uma amostra de 98 combinações de números, datas de validade e dígitos de verificação mostraram que cerca de 27% deles são válidos. Além disso, claro, veio a oferta de serviços futuros, com a indicação de que um volume desse tipo e com tal nível de eficácia, no marketplace, custa cerca de US$ 13 (aproximadamente R$ 67, em conversão direta).

De acordo com uma análise da Cyble, empresa especializada em cibersegurança, o Brasil aparece na quinta colocação, com um total de 72,5 mil cartões vazados — o maior volume é do Banco Santander, com 38 mil plásticos comprometidos. O banco de dados também inclui 5,8 mil entradas relacionadas a clientes do Bradesco e 2,9 mil do Banco do Brasil. O país com maior número de ocorrências é a Índia, com mais de 200 mil entradas, seguido pelo México (91,2 mil) e Estados Unidos (83,4 mil).

Além disso, a firma aponta que os impactos podem ser maiores do que a já grave disponibilização dos cartões. O volume disponibilizado pelos criminosos também inclui e-mails, números de telefone, endereços e nomes completos dos clientes, que podem ser utilizados em fraudes e tentativas de phishing que vão além do uso indevido das informações bancárias.

Um levantamento feito pela D3Labs, também especializada em segurança digital, mostrou que um perigo maior do que o divulgado até mesmo pelos próprios bandidos. De acordo com a empresa, pelo menos metade dos cartões disponíveis no volume ainda seria válida, podendo ser utilizados pelos criminosos em alternativas de baixa rastreabilidade para obtenção de lucros rápidos, como a compra de cartões-presente em lojas físicas e criptomoedas.

A Cyble compilou as informações em seu agregador de vazamentos, o Am I Breached, que permite a busca por números de cartão de crédito, e-mails, telefones e dados pessoais. A recomendação para os usuários afetados é o contato imediato com as instituições bancárias para o cancelamento dos plásticos comprometidos, além da atenção a faturas e extratos em busca de movimentações suspeitas que não tenham sido realizadas pelo próprio cliente.

Além disso, é importante manter o olho vivo a contatos feitos em nome das instituições, principalmente se eles envolverem links para cadastros, ofertas ou ligações telefônicas de confirmação. O ideal é não passar informação alguma e evitar clicar em mensagens desse tipo, além de alterar senhas comprometidas e ativar sistemas de autenticação em duas etapas.

Mercado de cartões

A ação de marketing do All World Cards serviu para firmar o marketplace como um novo elemento no cenário cibercriminoso. De acordo com os responsáveis pelo vazamento, o sistema tem um banco de dados com mais de 2,6 milhões de informações bancárias, todas mais recentes que as disponíveis no volume vazado e com maior potencial de ainda serem válidas.

Os dados são vendidos em pacotes de acordo com o país, o total de informações e categorias que envolvem bandeiras ou bancos específicos, por exemplo. Os volumes são vendidos por valores que vão de US$ 0,30 (menos de R$ 2) a US$ 15 (aproximadamente R$ 80), de acordo com as preferências do comprador; um volume com 516,8 mil cartões australianos da MasterCard e validade prevista para 2022, por exemplo, sai por cerca de R$ 45.

Segundo os administradores do All World Cards, o maior número de entradas no banco de dados é dos Estados Unidos, com 1,1 milhão de cartões disponíveis para venda. Como no caso do volume vazado, os criminosos não se comprometem com a validade dos plásticos, mas apontam para um alto índice de positivos e indicam que mais informações serão liberadas ao longo das próximas semanas e meses.

Fonte: Cyble, D3Lab, Bleeping Computer