Encomenda pendente e multa atrasada eram modelo pronto de uma rede de 1 bilhão de mensagens falsas
A Microsoft derrubou em outubro a rede que vendia kits de golpe usados em mais de 1 bilhão de e-mails e SMS falsos de encomenda, multa e alerta de conta.
A mensagem de encomenda pendente, multa de trânsito atrasada ou alerta de segurança da conta que chega com link muitas vezes não é obra de um golpista isolado, e sim um modelo pronto comprado numa loja clandestina. Em 14 de outubro de 2026, a Microsoft anunciou a derrubada de uma rede que, desde janeiro, ajudou a disparar mais de um bilhão de e-mails e SMS falsos para mais de 75 mil organizações, segundo o blog de segurança da empresa e a reportagem do TecMundo publicada no Estadão.
Escrevo sobre golpe contra empresa quase toda semana, e o que chama a atenção neste caso é a escala industrial do mecanismo, porque ele explica por que o aviso falso chega com o logotipo certo, o texto sem erro e a página idêntica à do banco ou do órgão público. Li a reportagem inteira e o comunicado da Microsoft para separar o que cada um afirma.
O que foi derrubado?
O alvo foi um mercado clandestino em idioma chinês chamado YAM Store, que a Microsoft rastreia pelo código Storm-3119. Segundo o TecMundo, a loja funcionava como um centro de suprimentos para criminosos e oferecia acesso a ambientes de nuvem da Microsoft e do Google obtidos de forma fraudulenta, que serviam para hospedar páginas de golpe e disparar mensagens em massa.
Para dar aparência legítima a essas contas, os operadores compravam domínios expirados de organizações reais, como entidades sem fins lucrativos ou de educação, recriavam os sites dessas instituições e, com ajuda de inteligência artificial, geravam documentos falsos para reativar os registros. Quem recebia a mensagem via um remetente que parecia ter história, e por isso o filtro de spam e a própria pessoa baixavam a guarda.
Como o golpe chegava tão bem feito?
Ligados à YAM Store funcionavam três kits de páginas falsas, chamados CoGUI, Haozi e Iron Man System. O TecMundo relata que esses kits ofereciam milhares de modelos prontos que simulavam comunicados oficiais, e que os pretextos mais comuns eram notificação de encomenda pendente, multa de trânsito atrasada, alerta bancário e verificação de segurança da conta. Só o Iron Man, que ganhou força no meio do ano, tinha mais de 2.300 modelos de páginas falsas adaptados para 130 países, segundo a reportagem.
Os kits também tinham recursos para escapar da análise de especialistas, como bloqueio por localização e uma checagem de que o visitante era uma pessoa real antes de mostrar a página falsa. As senhas e os dados de cartão digitados nessas páginas eram enviados em tempo real aos criminosos por canais automatizados no Telegram, e a Microsoft acrescenta que o Telegram também era usado na venda dos kits e no contato com os compradores.
É importante ler esse ponto com cuidado, porque o Telegram aparece como ferramenta dos criminosos, e não como o canal por onde a vítima recebia o golpe, que chegava por e-mail e SMS.
Quem foi responsável pela derrubada e o que ela atingiu?
Segundo o TecMundo, o desmantelamento ocorreu depois de uma ordem da Justiça dos Estados Unidos, no Distrito Sul da Flórida, que permitiu à Microsoft e à organização sem fins lucrativos Health-ISAC assumir o controle e redirecionar domínios que sustentavam a operação. A empresa também desativou mais de 20 mil contas e bloqueou cerca de 100 mil domínios criados para golpes de personificação de marcas e órgãos de governo.
A investigação começou no fim de 2025, quando a Agência Nacional de Polícia do Japão alertou a Microsoft sobre um aumento incomum de fraudes digitais no país. O BleepingComputer descreve a mesma ordem do tribunal federal do Distrito Sul da Flórida e não relata prisões, e até 23 de outubro de 2026, quando conferi, não localizei notícia de prisão ou acusação formal contra os operadores.
As marcas imitadas foram invadidas?
Não, segundo a reportagem, que afirma que as empresas imitadas não tiveram os sistemas internos invadidos para a criação dos modelos de golpe. Isso muda a forma de olhar para o problema, porque a página falsa do banco ou dos Correios não nasce de um vazamento daquela empresa, e sim de uma cópia do que qualquer pessoa vê na internet, vendida em pacote para quem quiser aplicar o golpe.
Para quem tem negócio, a consequência é dupla. A sua equipe pode ser o alvo da mensagem falsa, e a sua marca pode ser a próxima a virar modelo, o que já vimos acontecer em casos como o do site falso da Leroy Merlin.
A derrubada encerra o golpe?
Não encerra, e os próprios especialistas ouvidos pelo TecMundo ressaltam que o combate a esse mercado exige monitoramento contínuo, já que novos endereços e ferramentas são criados com rapidez. A Proofpoint, uma das empresas que apoiaram a operação, identificou mais de 17 mil domínios só no ecossistema ligado ao CoGUI no último ano, e a troca constante de endereço era justamente a estratégia para driblar os filtros automáticos.
O Brasil não é citado no texto da Microsoft, que aponta Estados Unidos e Japão como os países mais afetados, mas os pretextos usados pela rede são os mesmos que circulam aqui, e o mecanismo de comprar um kit pronto não depende de idioma, porque os modelos já vêm adaptados para cada país.
O que fazer agora
O cuidado dentro da empresa continua sendo o mesmo de antes da derrubada, e começa por quem abre as mensagens.
- Treine a equipe para desconfiar de aviso que chega com link, principalmente encomenda pendente, multa atrasada e bloqueio de conta, os pretextos que a investigação apontou como mais comuns.
- Confira o assunto pelo site ou aplicativo oficial, digitando o endereço ou abrindo o aplicativo por conta própria, antes de informar senha ou dados de cartão.
- Separe quem pode autorizar pagamento e combine que nenhum boleto ou PIX sai por causa de uma mensagem recebida, o mesmo cuidado que vale no golpe da guia falsa da Receita Federal.
- Proteja o e-mail corporativo com verificação em duas etapas, porque a senha capturada numa página falsa costuma ser a porta para o e-mail da empresa invadido.
- Guarde a prova se alguém clicou, com print da mensagem, do número ou remetente, do endereço da página e do horário, e registre o ocorrido.
Cada situação depende do que aconteceu e das provas daquele caso, que precisam ser analisadas individualmente.
Perguntas frequentes
O que era a YAM Store?
Era um mercado clandestino em idioma chinês, rastreado pela Microsoft como Storm-3119, que vendia acesso a contas de nuvem obtidas de forma fraudulenta e kits de páginas falsas usados por outros criminosos para aplicar golpes por e-mail e SMS.
Quantas mensagens falsas a rede ajudou a enviar?
Mais de um bilhão de e-mails e SMS falsos desde janeiro de 2026, para mais de 75 mil organizações, segundo a Microsoft. O TecMundo acrescenta que essas organizações estavam em 150 países.
Quais golpes os kits ofereciam?
Os pretextos mais comuns, segundo o TecMundo, eram encomenda pendente, multa de trânsito atrasada, alerta bancário e verificação de segurança da conta. O kit Iron Man System tinha mais de 2.300 modelos de páginas falsas adaptados para 130 países.
O golpe chegava pelo Telegram?
Não. As mensagens chegavam por e-mail e SMS, e o Telegram era usado pelos criminosos para receber em tempo real os dados digitados nas páginas falsas e, segundo a Microsoft, para vender os kits e falar com os compradores.
Depois da derrubada ainda posso receber esse tipo de mensagem?
Pode. Os especialistas ouvidos pelo TecMundo lembram que novos endereços e ferramentas surgem com rapidez, e por isso a conferência pelo site ou aplicativo oficial antes de digitar qualquer dado continua necessária.
