SCMBANKER: novo golpe ClickFix mira clientes de bancos e fintechs no México
Uma campanha de fraude financeira vem explorando um truque simples, porém extremamente eficiente: falsas verificações de CAPTCHA usadas como isca para instalar o malware SCMBANKER em computadores com Windows. O foco principal dos criminosos são clientes de bancos tradicionais, fintechs, processadores de pagamento e corretoras de criptomoedas que operam no México, mas a técnica pode facilmente ser adaptada para outros países.
O ataque começa em páginas que simulam perfeitamente aquelas telas de segurança conhecidas, nas quais o usuário precisa provar que não é um robô. Em vez de proteger, essas páginas foram criadas justamente para enganar: após “resolver” o suposto CAPTCHA, a vítima é direcionada a um passo seguinte, no qual recebe instruções detalhadas para copiar e colar um comando no Windows, normalmente via Prompt de Comando ou PowerShell.
Assim que o usuário segue as orientações e executa o comando, inicia-se silenciosamente o processo de instalação do SCMBANKER. Para não levantar suspeitas, o malware exibe uma falsa tela de atualização do sistema operacional, simulando um update comum do Windows. Enquanto o usuário espera a conclusão dessa “atualização”, o código malicioso baixa componentes adicionais e prepara o ambiente para permanecer ativo mesmo depois que o computador for reiniciado.
Uma vez instalado, o SCMBANKER passa a monitorar o comportamento do usuário, com foco especial na abertura de sites e aplicativos de instituições financeiras. O malware é capaz de tirar capturas de tela, registrar tudo o que é digitado no teclado, redirecionar sessões do navegador e até sobrepor janelas com avisos falsos. Em muitos casos, essas mensagens induzem a vítima a ligar para números de telefone controlados pelos criminosos, que se passam por suporte oficial do banco ou da fintech.
Outro recurso perigoso do SCMBANKER é o controle sobre a área de transferência do sistema. Sempre que a vítima copia dados sensíveis, como números de conta, códigos de agência ou chaves de pagamento, o malware pode substituir automaticamente essas informações pelas credenciais dos golpistas. Assim, a pessoa acredita estar realizando uma transferência legítima, mas o dinheiro é enviado diretamente para contas controladas pela quadrilha.
Em cenários mais sofisticados, os operadores do SCMBANKER vão além e instalam uma ferramenta comercial de acesso remoto, frequentemente usada de forma legítima em suporte técnico. A diferença é que, neste caso, o objetivo é acompanhar em tempo real tudo o que a vítima faz. Com essa visão completa, os criminosos podem decidir como agir, quais contas explorar e quais valores tentar desviar, ajustando o golpe de acordo com o perfil financeiro da pessoa ou da empresa atacada.
O uso de CAPTCHAs falsos não é aleatório. Criminosos se aproveitam do fato de que usuários já se acostumaram a esse tipo de verificação, especialmente em serviços financeiros, lojas online e plataformas que envolvem dinheiro ou dados pessoais. Ao ver uma página que aparentemente confirma “Você não é um robô”, muitas pessoas baixam a guarda, acreditando que se trata de um mecanismo adicional de segurança. É exatamente essa confiança que o golpe ClickFix explora.
No caso específico dessa campanha, o passo que exige copiar e executar um comando no Windows é um sinal de alerta crucial. Em geral, nenhum banco, fintech ou corretora legítima orienta seus clientes a abrir o Prompt de Comando ou o PowerShell para “atualizar a segurança” ou “validar a conta”. Sempre que um site solicitar esse tipo de ação manual e técnica, a recomendação é fechar imediatamente a página e, se necessário, entrar em contato com o suporte oficial pelos canais já conhecidos do usuário (como aplicativo, telefone impresso no cartão ou app, ou site digitado manualmente no navegador).
Para vítimas em potencial, alguns cuidados reduzem bastante o risco de infecção por ameaças como o SCMBANKER. Entre eles: evitar clicar em links recebidos por e-mail, SMS ou mensageiros que prometem desbloqueio de conta, revisão de dados cadastrais, bônus ou estorno imediato; conferir sempre o endereço do site digitando-o manualmente no navegador; desconfiar de qualquer página que peça instalação de arquivos ou execução de comandos para “liberar” acesso ao internet banking ou ao app financeiro.
Empresas do setor financeiro também precisam ficar atentas. Como o golpe mira diretamente clientes de bancos e fintechs, a reputação dessas instituições acaba afetada, mesmo quando não há falha técnica direta nos sistemas internos. Investir em campanhas de conscientização, notificando usuários sobre golpes em circulação, torna-se tão importante quanto reforçar controles internos e sistemas antifraude. Mensagens claras explicando que a instituição jamais pedirá instalação de programas adicionais ou execução de comandos no computador ajudam a bloquear boa parte das tentativas.
Do ponto de vista técnico, o SCMBANKER ilustra uma tendência preocupante em malwares bancários: combinar técnicas clássicas, como keylogging e captura de tela, com manipulação avançada da experiência do usuário. Ao sobrepor janelas, redirecionar o navegador e interferir na área de transferência, o ataque deixa de depender apenas da interceptação de senhas e passa a controlar cada etapa da transação financeira, diminuindo a eficácia de mecanismos tradicionais de segurança, como autenticação em dois fatores.
Outro componente estratégico do golpe é o uso de ferramentas comerciais de acesso remoto. Ao optar por softwares amplamente usados no mercado, os criminosos tentam se misturar ao tráfego legítimo e dificultar a detecção por soluções de segurança. Do ponto de vista da vítima, ver uma janela de “suporte remoto” pode parecer algo normal, principalmente se a pessoa foi convencida de que está falando com um atendente do banco. Por isso, é fundamental desconfiar de qualquer pedido de acesso remoto iniciado por supostos agentes de atendimento financeiro.
Para quem suspeita que o computador possa ter sido comprometido pelo SCMBANKER ou por outro malware similar, é recomendável interromper imediatamente o uso de serviços bancários naquele dispositivo, desconectar a máquina da internet e buscar ajuda especializada. Ferramentas de segurança atualizadas podem detectar muitos desses malwares, mas, em alguns casos, uma reinstalação completa do sistema operacional pode ser a opção mais segura. Depois disso, vale alterar senhas, revisar dispositivos cadastrados no banco e conferir extratos em busca de movimentações suspeitas.
A tendência é que ataques como o golpe ClickFix se tornem mais frequentes à medida que mais pessoas e empresas digitalizam suas operações financeiras. Criminosos sabem que a experiência do usuário, baseada em confiança e costume, pode ser explorada por interfaces que parecem legítimas, mas foram produzidas para roubar. Entender como esses golpes funcionam, reconhecer sinais de alerta e adotar uma postura mais crítica diante de qualquer solicitação incomum são passos essenciais para reduzir o impacto de malwares como o SCMBANKER no dia a dia de consumidores e organizações.