«Identidade verificada», destino enganoso: como anúncios pagos levam usuários argentinos a falsos investimentos

Do anúncio à oferta: o alcance deste caso

Um chat que usa o Mercado Libre oferece planos de 5, 10 e 20 milhões de pesos e se apresenta como «verificado pela YPF». Uma falsa matéria imitando o La Nación promete 450% sobre um mínimo de 200.000 pesos após o pagamento de uma «fiança». Outra página usa a marca Balanz e solicita número do cartão, titular, validade e código de segurança para «depositar». São promessas e pedidos das iscas, não rendimentos ou pagamentos verificados pela investigação.

Documentei esses percursos em um celular em 30 de setembro e 1º de outubro de 2026, horário da Argentina. Quase todos começaram em publicidade marcada como «Patrocinado», no navegador, no Gmail Promoções ou em redes de anúncios nativos. Nos anúncios observados do Google aparecia a indicação de identidade do anunciante verificada.

A distinção útil é entre a identidade declarada do anunciante e a legitimidade da oferta de destino. A indicação não permitiu concluir que os rendimentos, as marcas ou os formulários fossem autênticos.

CASHCLOAK LATAM é o rótulo de acompanhamento deste trabalho, não o nome de um ator nem prova de que os percursos pertençam a uma única quadrilha. O relatório completo e seus limites de evidência separa observações, avaliações e o que não foi estabelecido.

Cinco observações com limites diferentes

Anunciantes declarados em seis países

A amostra inclui Reino Unido, Chipre, Países Baixos, Ucrânia, Austrália e Brasil como países declarados dos anunciantes, com anúncios dirigidos a usuários argentinos. Esses campos descrevem o que foi exibido sobre o anunciante. Não localizam o operador do site nem comprovam que o pagador controlava o destino. A leitura de um mercado de compra de tráfego é uma avaliação, não uma atribuição individual.

O endereço mostrado e a página aberta podem diferir

Um anúncio de moda feminina, com anunciante declarado na Ucrânia, levou a lunarbutton[.]site, uma falsa matéria de investimento imitando o La Nación. O salto é compatível com redirecionamento ou cloaking. A observação do lado do usuário não determinou qual mecanismo produziu o resultado.

A mesma marca aparece em várias iscas

O Mercado Libre foi a marca mais repetida na amostra: falsa notícia com chat, «gestor pessoal» em epicharvest[.]info e oferta de «CFD do Mercado Pago». Essa repetição descreve os percursos observados, não toda a fraude argentina. Compartilhar marca não demonstra operador comum.

Captar um telefone também pode ser o objetivo

O percurso de «CFD do Mercado Pago» passa por falcon-press[.]com e avisa que «um executivo de investimentos ligará». A avaliação de captação para call center de investimento tem confiança moderada. A mensagem visível e sua interpretação não comprovam quem liga, de onde ou qual pagamento acaba ocorrendo.

O formulário da marca falsificada solicita o cartão completo

app.balanztrading[.]com exibia a marca Balanz e selos de «Conforme PCI-DSS» e 3-D Secure. A investigação identifica falsificação, não participação da Balanz. A solicitação integra o risco documentado; os selos não foram validados como certificações e não se confirmou roubo efetivo de cartões ou cobranças.

Uma landing de «Guia de Créditos ANSES» mostrou conteúdo temático sem pedir informações sensíveis. Permanece como contexto, não phishing. Google, bancos e marcas não recebem atribuição de participação por aparecerem nesses percursos. Não estabeleci um operador comum.

Como usar os achados sem ultrapassar a evidência

Para leitores e usuários

A recomendação do caso é verificar o destino real antes de fornecer informações, sem tratar marca, selo ou identidade declarada como prova da oferta. Rendimentos garantidos, «fiança» e pedidos de cartão no site falsificado são os sinais descritos. Não visite os domínios de campanha nem preencha os formulários para conferir esta nota.

Este caso documenta um formulário falsificado; não verifica as práticas de todas as corretoras nem certifica conformidade PCI-DSS. A prevenção se apoia no destino e no contexto observados, não nessa generalização.

Para equipes de fraude, SOC e CTI

O relatório propõe cruzar indicadores com registros de DNS/proxy e operações posteriores, além de examinar reclamações com expressões como «fiança», «gestor pessoal», «verificado pela YPF» e «um executivo ligará». São pistas contextuais, não prova autônoma de fraude em qualquer transação.

O CSV público distingue três indicadores BLOCK e quatro HUNT. Seus rótulos históricos são preservados: HUNT apoia investigação, não uma ordem de bloqueio. Inclui descubre.upmegaconectnotification[.]click e o domínio pai; não descrevo o conteúdo desse destino. A validade dos indicadores não é atualizada aqui e ainda exige validação operacional.

Método e limites da amostra

A observação foi passiva: anúncios no celular, informações da «Minha Central de Anúncios» e páginas abertas ao tocar neles. Conservo as capturas originais e os SHA-256 registrados no arquivo de evidências da investigação, e separo afirmações observadas, avaliações com nível de confiança e o que não consegui estabelecer. Esses materiais correspondem à coleta original e não devem ser interpretados como uma medição posterior.

Um celular e dois dias documentam percursos específicos. Não medem incidência, perdas, pessoas afetadas ou frequência regional. Países de anunciantes não se tornam países de vítimas. Antes da publicação, notifiquei os achados a equipes de resposta a incidentes da região e às marcas falsificadas.

Relatório, indicadores e versão para download

O relatório público desenvolve seis verticais, limites de evidência, MITRE ATT&CK e recomendações por função. Para aprofundar, use os documentos do caso, não os destinos de campanha.

Ler o relatório completo de CASHCLOAK LATAM.

Baixar os indicadores (CSV): sete domínios com contexto, três BLOCK e quatro HUNT, todos neutralizados ([.]). Não os visite.

Baixar o relatório completo (PDF · 15 páginas): as 16 seções do relatório, com tabelas, indicadores, MITRE ATT&CK, método e citação.

O PDF e o CSV preservam suas versões históricas e esta página não os modifica; cada download deve ser citado com sua própria data e versão.