Os investigadores documentaram uma campanha de longa duração que utiliza páginas CAPTCHA falsas para induzir os utilizadores de dispositivos móveis a enviar dezenas de mensagens SMS internacionais em segundo plano.
Se já passou algum tempo na Internet hoje em dia, os CAPTCHAs podem parecer apenas ruído de fundo: clica em alguns semáforos, prova que és humano e segue em frente. Algo que os burlões aprenderam a explorar nas campanhas ClickFix, nas quais levam as vítimas a infetar os seus próprios computadores.
Recentemente, porém, os investigadores descobriram uma reviravolta em que a mensagem «prove que é humano» se transforma, discretamente, em «acumule uma conta telefónica internacional». A investigação descreve uma campanha de Fraude de Partilha de Receitas Internacionais (IRSF). A IRSF, também conhecida como fraude de «SMS pumping», aproveita-se das complexas estruturas de tarifação das chamadas internacionais e do tráfego de SMS para gerar receitas, inflacionando o volume de mensagens enviadas para destinos específicos.
Em vez de instalar malware no dispositivo da vítima, o esquema aproveita-se do funcionamento da faturação das telecomunicações e das redes de afiliados, transformando o tráfego normal da Web em receitas provenientes de SMS premium para os cibercriminosos.
Como funciona
Um fluxo típico deste esquema é o seguinte:
- As vítimas são redirecionadas através de malvertising ou redirecionamentos de TDS, muitas vezes a partir de domínios de telecomunicações que se aproveitam de erros ortográficos, para uma página que se assemelha a um CAPTCHA básico de seleção de imagens ou de questionário.
- Para «continuar», é-lhes pedido que toquem num botão que abre a sua aplicação de SMS com uma mensagem e uma lista de destinatários já preenchidas.
- Não se trata de uma única mensagem SMS enviada para um único número. O CAPTCHA falso passa por várias etapas, e cada mensagem é pré-configurada com mais de uma dúzia de números internacionais em 17 países conhecidos pelas suas elevadas tarifas de terminação, incluindo o Azerbaijão, Mianmar e o Egito.
Num plano de consumo típico, isso pode traduzir-se em cerca de 30 dólares em custos de SMS internacionais por pessoa, com uma parte das taxas de terminação a reverter para o atacante através de acordos de partilha de receitas.
Para impedir que o utilizador simplesmente saia da página, estas páginas utilizam uma técnica específica de manipulação do botão «Voltar». O JavaScript reescreve o histórico do navegador e redireciona-o de volta para o esquema fraudulento quando tenta sair. Os investigadores descobriram também que a campanha estava ligada a uma rede de afiliados do tipo Click2SMS que anuncia «todo o tipo de tráfego permitido» e faturação através da operadora, apresentando efetivamente o IRSF como mais uma opção de monetização para editores duvidosos.
Esta operação defrauda tanto os particulares como as operadoras de telecomunicações. As vítimas deparam-se com cobranças inesperadas de SMS premium nas suas faturas e podem ter dificuldade em identificar a causa. As operadoras pagam uma parte das receitas aos autores do crime e podem ter de arcar com as perdas decorrentes de reclamações dos clientes ou estornos.
Proteção para dispositivos móveis , em qualquer lugar, a qualquer hora.
Como se proteger
Nunca envie uma mensagem SMS para «provar que é humano». Os CAPTCHAs legítimos funcionam inteiramente no seu navegador. Não abrem a sua aplicação de SMS nem a de chamadas.
Verifique regularmente a sua fatura de telemóvel para ver se há pequenas cobranças por SMS internacionais desconhecidas, e não apenas picos de gastos elevados. Se detectar algo suspeito, conteste a cobrança rapidamente e peça à sua operadora para bloquear os SMS internacionais ou premium, caso não precise deles.
Utilize uma aplicação de proteção para dispositivos móveis que bloqueie sites maliciosos conhecidos, como estes domínios envolvidos nesta campanha:
sweeffg[.]onlinecolnsdital[.]comzawsterris[.]commegaplaylive[.]comruelomamuy[.]com
![Malwarebytes o ruelomamuy[.]com](https://www.malwarebytes.com/wp-content/uploads/sites/2/2026/04/ruelomamuycomblock.png)
Os burlões sabem mais sobre si do que pensa.
Mobile Security Malwarebytes Mobile Security contra phishing, mensagens fraudulentas, sites maliciosos e muito mais. Com o Scam Guard integrado, alimentado por IA e em tempo real.
