Una promesa de alivio financiero abre el recorrido: renegociar deudas con descuentos de hasta el 99 %. La página utiliza el nombre de Desenrola Brasil y ofrece un botón para comenzar. Detrás de esa presentación, el flujo implementado solicita el CPF, prevé consultar datos personales en un servicio externo y deriva al visitante hacia una conversación automatizada con una supuesta representante del programa.
El destino de ese recorrido es una solicitud de PIX por R$ 68,92.
Entre el 25 y el 26 de octubre relevé cinco hostnames que respondían con HTTP 200 y títulos relacionados con Desenrola Brasil. El examen de los recursos permitió reconstruir la secuencia prevista por el sitio sin enviar formularios ni completar pagos. Esa distinción define el alcance de esta investigación: pude documentar disponibilidad web y lógica del cliente, no una operación financiera consumada.
Este relevamiento identifica un conjunto concreto de páginas disponibles en esas fechas y describe cómo articulan presentación, datos personales, atención simulada y cobro.
Cinco páginas y una base técnica compartida
Los hostnames registrados como disponibles fueron:
- desenrolahoje[.]shop
- contaemdiahojedesconto[.]shop
- descontoshojequitar[.]shop
- novodescontofacil[.]shop
- desenrola-brasil-d8c8032026[.]netlify[.]app
Los cuatro dominios .shop resolvían a 88.80.17.232, asociada en el relevamiento con AS33837, PRQ. El hostname de Netlify resolvía a infraestructura de AWS utilizada por ese servicio.
Los recursos examinados incluían CSS, JavaScript e imágenes cuyos hashes SHA-256 coincidían con registros históricos del caso. La coincidencia permite reconocer archivos idénticos y relacionar el material servido por las páginas. No determina, por sí sola, si existe un operador único, una plantilla distribuida entre terceros o una copia de una implementación anterior.
La dirección IP compartida aporta otra relación técnica, aunque no prueba propiedad común ni responsabilidad del proveedor de alojamiento. La respuesta HTTP 200 tampoco garantiza que todos los pasos posteriores funcionaran: acredita que los servidores entregaban contenido durante la comprobación.
El CPF como entrada a una interacción personalizada
El botón “ACESSAR AGORA” conduce hacia /findex/. En el hostname de Netlify también se registró la variante /findex/index-1.
El formulario identificado como cpfForm está preparado para consultar api[.]amnesiatecnologia[.]lat mediante el CPF introducido y un token fijo incluido en el cliente. El valor de ese token se omite de esta publicación.
Si la respuesta contiene el nombre esperado por el código, la aplicación guarda nombre, CPF y fecha de nacimiento en localStorage, bajo las claves site.nome, site.cpf y site.nasc. Después construye una redirección hacia /chat/ que incluye CPF y nombre en la URL y conserva parámetros de campaña UTM.
Esta secuencia explica cómo la página podría transformar un identificador ingresado por el visitante en una conversación aparentemente personalizada. El reconocimiento del nombre puede reforzar la credibilidad de una atención falsa, aunque no acredita que exista una consulta legítima de deudas.
En esta investigación no se enviaron CPF al servicio. Por tanto, no se verificó la respuesta de la API, el origen de sus datos ni la exactitud de la información que pudiera devolver. Lo documentado es la integración prevista en el código.
La identidad personal también queda incorporada a la navegación: el diseño coloca CPF y nombre en la dirección de destino y los conserva en el navegador. Esa exposición merece atención por su posible presencia en historiales y registros; no demuestra que todos los sistemas de seguimiento cargados por la página recibieran esos datos.
Una atención simulada que prepara el cobro
La ruta /chat/ exige CPF y nombre, obtenidos de la URL o del almacenamiento local. Cuando faltan, muestra un aviso de datos incompletos y anuncia el regreso al inicio.
Con esos valores disponibles, el código inicia una conversación simulada con el avatar “Leticia”, presentada como “Atendente do Programa Desenrola Brasil”. El título de la página es “Desenrola Brasil — Atendimento”.
La secuencia combina la identidad visual del programa, mensajes automatizados y un código de acuerdo derivado de forma determinística del CPF. Este último elemento puede dar apariencia de individualización, pero su generación local no acredita una negociación con un acreedor ni la existencia de un acuerdo válido.
El valor fijado para el PIX es R$ 68,92. La página carga una biblioteca para representar códigos QR y el archivo pix_service.js, que contiene la integración destinada a solicitar la transacción.
El hallazgo describe una capacidad implementada. No se generó un PIX de prueba ni se observó a una víctima completar el recorrido.
Un gateway externo en la etapa de transacción
La clase PixService referencia api-gateway[.]techbynet[.]com. Su método createTransaction prepara una solicitud POST a /api/user/transactions y contempla autenticación mediante el encabezado x-api-key. El código también referencia la cadena AtivoB2B/1.0 como User-Agent; su presencia en el archivo no equivale a haberla observado efectivamente transmitida por el navegador.
La documentación pública identificada en docs[.]techbynet[.]com describe ese endpoint. Sus ejemplos mencionan a SomosSimpay como proveedor posterior en la cadena de procesamiento.
Estos elementos permiten describir cómo la aplicación pretende separar la página de captación de la creación de la transacción. No permiten establecer qué cuenta recibiría el dinero, qué proveedor procesaría un pago concreto ni si la solicitud sería aceptada.
Tampoco se estableció que los operadores de las páginas controlaran exclusivamente el gateway o la API de datos personales. Una referencia desde un sitio investigado no demuestra participación consciente del servicio referido en la maniobra.
Seguimiento comercial y apariencia empresarial
Las páginas incorporaban referencias a Google Analytics, al píxel de utmify y a scripts o destinos en nuescalador[.]info y subdominios de lovable[.]app. Entre los identificadores registrados figuran G-XXNP83W053 y el píxel 6a5d71a4a5544029c22493bf.
Estos valores pueden servir para comparar páginas y seguir cambios de implementación. Su utilidad aumenta cuando coinciden con otros elementos, como archivos idénticos, rutas y contenido. Aislados, no identifican de manera concluyente a una persona ni convierten en maliciosa toda la infraestructura de una plataforma compartida.
El pie de las páginas mostraba el CNPJ 67.940.187/0001-84 y la razón social CLARA CHALITA SERVICOS DE MARKETING DIRETO LTDA. La observación se limita a su aparición en el contenido: no se verificó que la empresa hubiera autorizado ese uso ni que operara los sitios. Copiar una identidad empresarial también puede formar parte de una presentación engañosa.
Qué aporta a la prevención del fraude
Para quien busca renegociar una deuda, la personalización del diálogo no constituye una garantía de autenticidad. Una página que conoce un nombre, presenta un supuesto acuerdo y muestra un QR puede seguir siendo ajena al programa y al acreedor. La verificación debe hacerse mediante canales oficiales obtenidos de forma independiente, no desde enlaces proporcionados por la propia página investigada.
Para bancos, equipos de fraude, SOC y CTI, el caso propone una lectura conjunta de señales: suplantación de un programa público, captura de CPF, consulta externa de identidad, atención simulada y solicitud de pago.
Los dominios, hashes e identificadores de seguimiento ofrecen puntos de comparación para detectar réplicas. Los registros transaccionales y la identificación del beneficiario serían necesarios para pasar de una cadena prevista en el código a una reconstrucción del recorrido real del dinero.
La infraestructura compartida exige precisión. No corresponde extender una conclusión sobre una landing a todos los usuarios de Netlify, AWS, una plataforma de analítica o un gateway. El análisis debe conservar el contexto, la fecha y el papel observado de cada indicador.
Método y alcance de la muestra
El relevamiento corresponde al 25 y 26 de octubre de 2026. Se utilizaron consultas DNS, solicitudes HTTP de bajo impacto y revisión del contenido y los recursos del cliente. No hubo explotación, envío de formularios ni pagos.
Los cinco hostnames constituyen la muestra disponible en ese corte, no una medición del tamaño total de la operación. Otros nombres del conjunto inicial no resolvieron o no respondieron durante la comprobación; ese resultado no demuestra un cierre permanente.
No se confirmó la recuperación efectiva de datos personales, la creación de una transacción ni la liquidación de PIX. Tampoco se identificaron víctimas, pérdidas, beneficiarios finales o un actor responsable.
El resultado central es una cadena técnica documentada: páginas disponibles que reutilizan recursos y cuyo código conecta una promesa de renegociación con datos personales, atención simulada y una solicitud de cobro. La continuidad de un mismo operador a lo largo del tiempo sigue sin demostrarse.
Fuentes y materiales
La evidencia del caso procede del relevamiento propio descrito en esta nota.
Los dominios se presentan desactivados para evitar accesos accidentales. Se excluyen tokens, claves y parámetros personales.
Autoría
Ezequiel Jorge La Terra
Cyber Threat Intelligence LATAM
ORCID 0009-0008-1677-4218
Cómo citar
La Terra, E. J. (2026). Desenrola Brasil: investigación sobre una campaña activa. Cyber Threat Intelligence LATAM.
Ficha
País: Brasil.
Modalidad: suplantación de programa público y solicitud de pago por PIX.
Corte de observación: 25 y 26 de octubre de 2026.
Muestra disponible: cinco hostnames.
Importe configurado: R$ 68,92.
Atribución: no establecida.
Pagos y liquidación: no verificados.