O Google processa hackers Lighthouse em uma das ações mais ambiciosas já movidas por uma empresa de tecnologia contra o cibercrime organizado. A gigante entrou com uma ação judicial civil nos Estados Unidos contra operadores baseados na China, acusando-os de administrar a plataforma de Phishing-como-Serviço (PhaaS) conhecida como Lighthouse, responsável por uma fraude global estimada em mais de US$ 1 bilhão.
Essa plataforma vendia acesso a kits completos de phishing, permitindo que qualquer criminoso, mesmo sem conhecimento técnico, realizasse ataques sofisticados por meio de smishing — golpes via mensagens SMS que se passavam por serviços legítimos, como o USPS (serviço postal dos EUA) e o E-ZPass (sistema de pedágio eletrônico). Segundo o Google, mais de 1 milhão de usuários foram afetados ao longo de três anos.
Mais do que um caso financeiro, o processo representa uma mudança de postura global na luta contra o cibercrime. O Google está utilizando leis originalmente criadas para combater a máfia, como a Lei RICO, demonstrando que o crime digital organizado agora é tratado com a mesma gravidade que o crime físico.
O que é o Lighthouse? O ‘Netflix’ do phishing
A plataforma Lighthouse é um exemplo claro de como o cibercrime se profissionalizou. Funciona de forma semelhante a um serviço de streaming: os criminosos “assinavam” o serviço para ter acesso a ferramentas prontas para executar ataques de phishing, sem precisar desenvolver nada do zero.
Entendendo o Phishing-como-Serviço (PhaaS)
O conceito de Phishing-as-a-Service (PhaaS) representa a industrialização do golpe. Assim como existem serviços legítimos baseados em assinatura, como o Netflix ou o Spotify, o PhaaS oferece kits de phishing sob demanda. Por uma taxa semanal, em média US$ 88 por semana, o assinante recebe painéis de controle, páginas falsas prontas e até suporte técnico para configurar campanhas fraudulentas.
Esses kits imitam interfaces de login de empresas conhecidas, como Google, Microsoft, PayPal e USPS, com tamanha precisão que até usuários experientes podem ser enganados. No caso do Lighthouse, foram identificados mais de 107 modelos diferentes de páginas falsas.
A isca: smishing de taxas de pedágio e entregas
A tática mais usada pelo golpe Lighthouse phishing era o smishing, uma forma de phishing via SMS. As mensagens alertavam as vítimas sobre pendências em taxas de pedágio (E-ZPass) ou problemas com entregas (USPS), pedindo o pagamento de pequenos valores ou a confirmação de dados. Ao clicar no link, o usuário era levado a uma página falsa que coletava suas informações pessoais, dados bancários e até credenciais de login.
Esses dados eram então enviados automaticamente para os operadores da plataforma, que revendiam as informações ou usavam-nas em outros golpes, incluindo clonagem de cartões e fraudes financeiras.
A escala industrial do golpe: Smishing Triad e leis da máfia
As investigações apontam que o Lighthouse fazia parte de um ecossistema criminoso ainda maior conhecido como Smishing Triad, um conjunto de grupos que compartilham infraestrutura, técnicas e bancos de dados de vítimas. Baseados principalmente na China, esses grupos operam milhares de domínios falsos e já exploraram marcas de alto perfil, incluindo o próprio Google.
Essa estrutura organizada e global levou o Google a tratar o caso como crime organizado digital, recorrendo à Lei RICO (Racketeer Influenced and Corrupt Organizations Act), uma legislação criada nos anos 1970 para desmantelar a máfia nos Estados Unidos.
Por que o Google está usando a lei RICO?
A Lei RICO permite que empresas processem grupos criminosos inteiros, não apenas indivíduos. O Google argumenta que o Lighthouse operava como uma organização criminosa com divisão de funções, lucros partilhados e clara intenção de fraude em escala. Essa estratégia jurídica é inédita no combate ao phishing e pode abrir precedente para futuras ações contra redes como Darcula, EvilProxy e Lucid, outras plataformas PhaaS ativas.
Como se proteger dos golpes de smishing (PhaaS)
Embora o processo do Google seja uma vitória contra o crime digital, o smishing continua sendo uma das formas mais comuns de fraude. Entender como reconhecer e reagir a essas mensagens é essencial para manter sua segurança.
Sinais de alerta em SMS de pedágio ou correio
Mensagens de smishing geralmente compartilham os mesmos sinais de alerta:
- Linguagem urgente (“pague agora”, “último aviso”)
- Links encurtados ou suspeitos
- Erros ortográficos ou pequenas alterações em nomes de empresas
- Remetentes genéricos ou internacionais
Se você receber uma mensagem informando sobre taxas de pedágio ou entregas pendentes, nunca clique no link. Em vez disso, acesse o site oficial do serviço digitando o endereço diretamente no navegador.
O que fazer se você receber uma mensagem suspeita
Ao suspeitar de um golpe:
- Não responda ao SMS nem forneça informações pessoais.
- Denuncie a mensagem ao seu provedor ou aplicativo de mensagens.
- Verifique diretamente com a empresa mencionada, usando canais oficiais.
- Bloqueie o remetente para evitar novos contatos.
Essas ações simples podem evitar que você seja vítima de golpes de Phishing-as-a-Service cada vez mais sofisticados.
O perigo do ‘Ghost Tap’
Um dos elementos mais perigosos associados ao ecossistema do Lighthouse é a ferramenta chamada Ghost Tap, usada para adicionar cartões roubados a carteiras digitais, como Google Pay ou Apple Pay, sem o conhecimento do verdadeiro titular. Isso permite que criminosos usem os cartões em transações sem contato, tornando o golpe quase impossível de rastrear.
A combinação de smishing, kits PhaaS e ferramentas como o Ghost Tap mostra como o crime digital evoluiu para um modelo completo de negócio, com produtos, suporte e “clientes”.
Conclusão: a guerra contra o PhaaS está só começando
A ação do Google contra Lighthouse é um marco histórico na luta contra o cibercrime industrializado. Ao aplicar leis de combate à máfia para processar uma rede de phishing, o Google envia uma mensagem clara: o phishing-como-serviço não será tratado como simples fraude, mas como crime organizado global.
No entanto, a guerra está longe de terminar. Plataformas como Darcula e Lucid continuam ativas, adaptando suas estratégias e explorando novas marcas. A responsabilidade de se proteger é compartilhada: empresas devem investir em segurança, e usuários precisam se manter informados.
Você já recebeu um SMS suspeito tentando se passar pelos Correios ou por um serviço de pedágio? Compartilhe sua experiência nos comentários e ajude a alertar outros leitores do Sempre Update. Sua atenção pode ser a melhor defesa contra o próximo golpe digital.
