Pesquisar o site do banco no Google parece algo completamente normal. Você digita o nome da instituição, encontra o primeiro resultado e clica. É justamente nesse comportamento quase automático que uma nova geração de páginas falsas de bancos está tentando encontrar suas vítimas.
No segundo trimestre de 2026, pesquisadores da Fortra Intelligence and Research Experts, FIRE, observaram crescimento superior a 40% no uso de uma técnica chamada Chameleon SEO Poisoning. Ela combina manipulação de resultados de busca com cloaking para entregar páginas de phishing somente quando determinadas condições são atendidas.
O objetivo continua bastante conhecido: roubar credenciais e sequestrar sessões. A novidade está na maneira como essas páginas falsas de bancos tentam permanecer invisíveis para pesquisadores e ferramentas tradicionais de segurança.
O phishing agora espera você chegar
Campanhas tradicionais normalmente levam a fraude até a vítima por email, SMS ou mensagens instantâneas. No Chameleon SEO Poisoning, os criminosos trabalham para fazer o usuário encontrar a fraude sozinho.
Para isso, utilizam técnicas de SEO Poisoning com o objetivo de posicionar páginas falsas de serviços financeiros entre os primeiros resultados para pesquisas com alta intenção, como “login Banco X”, “cartão Banco X” ou “portal Banco X”.
Os pesquisadores também identificaram o uso de endereços criados para imitar domínios legítimos, inclusive estruturas associadas a extensões como .ph.com e .gr.com.
Aparecer bem posicionado na busca, entretanto, é apenas a primeira parte da operação.
Como páginas falsas de bancos viram camaleões
O ponto central do ataque está no controle sobre aquilo que cada visitante consegue visualizar.
Quando um analista, scanner automatizado ou pesquisador acessa diretamente o endereço suspeito, o servidor pode apresentar uma página vazia, indisponível ou um falso erro 404. Para uma análise convencional, aparentemente não existe phishing naquele endereço.
Quando o acesso acontece depois de um clique em um mecanismo de busca, o comportamento muda. O servidor identifica informações relacionadas à origem da navegação e pode entregar uma cópia convincente do portal da instituição financeira.
Na prática, são páginas falsas de bancos com duas personalidades. Uma para quem investiga e outra para quem pode cair no golpe.
A armadilha começa nos resultados de busca
O primeiro estágio ocorre quando o atacante consegue posicionar seu domínio entre resultados relevantes para pesquisas relacionadas ao banco.
Para o usuário, existe pouco que pareça suspeito inicialmente. O resultado está no mecanismo de busca e pode aparecer próximo ou até acima do endereço esperado.
É justamente essa aparência de normalidade que torna o ataque perigoso.
No acesso direto, praticamente nada acontece
Quando o mesmo domínio é aberto diretamente, sem o contexto da pesquisa anterior, o comportamento pode ser completamente diferente.
Em vez da página de phishing, o pesquisador encontra um endereço aparentemente inativo. Isso pode fazer scanners e serviços de reputação não encontrarem evidências suficientes para classificá-lo como malicioso.
Conveniente para o criminoso, obviamente.
Pelo mecanismo de busca, aparece o phishing
Quando o acesso reproduz a jornada realizada pela vítima, o servidor pode finalmente revelar o conteúdo malicioso.
É nesse momento que páginas falsas de instituições financeiras apresentam formulários de autenticação semelhantes aos originais, tentando capturar informações fornecidas pelo usuário.
Essa diferença de comportamento ajuda a manter campanhas funcionando por dias ou até semanas antes que sejam identificadas e removidas.
Por que scanners tradicionais podem não encontrar essas páginas
Serviços de reputação e scanners passivos normalmente analisam um endereço de maneira isolada. O Chameleon SEO Poisoning explora justamente essa característica.
Um SOC pode receber uma denúncia, visitar diretamente o domínio, encontrar uma página aparentemente fora do ar e concluir que se trata de um falso positivo.
Enquanto isso, usuários chegando pelo mecanismo de busca continuam encontrando a fraude.
Por isso, analisar páginas falsas de bancos exige cada vez mais contexto. Não basta saber qual endereço foi acessado. É necessário entender também como a vítima chegou até ele.
Como empresas podem reagir
Para CISOs e equipes de segurança, mecanismos de busca precisam fazer parte da superfície monitorada da marca. Isso inclui acompanhar pesquisas relacionadas à instituição, identificar resultados suspeitos e investigar domínios recém registrados que tentem reproduzir sua identidade.
Equipes de SOC também precisam considerar análises capazes de reproduzir, em ambientes controlados, o contexto real da navegação do usuário. Uma visita direta deixou de ser evidência suficiente de que determinado endereço é seguro.
Provedores e registradores, por sua vez, precisam considerar evidências obtidas por análises contextuais, já que o conteúdo apresentado ao investigador pode ser diferente daquele entregue à vítima.
Como evitar páginas falsas de bancos
Para o usuário, existe uma mudança de hábito bastante simples que reduz a exposição: não depender do mecanismo de busca sempre que precisar acessar sua instituição financeira.
Prefira o aplicativo oficial ou um endereço previamente verificado e salvo nos favoritos. Também vale conferir cuidadosamente o domínio antes de fornecer qualquer informação de autenticação.
O cadeado do navegador nunca foi certificado de honestidade. Agora podemos acrescentar outro item à lista: estar no topo do Google também não significa que uma página seja legítima.
As páginas falsas de bancos estão evoluindo justamente porque os criminosos entenderam como exploramos a confiança. Quando o golpe consegue controlar não apenas aquilo que aparece, mas também quem consegue enxergar a fraude, ferramentas de segurança precisam aprender a navegar como uma vítima.
Caso contrário, o scanner encontra uma página morta enquanto o cliente encontra exatamente a armadilha que deveria ter sido detectada.
