Uma promessa de alívio financeiro abre o percurso: renegociar dívidas com descontos de até 99 %. A página usa o nome Desenrola Brasil e oferece um botão para começar. Por trás dessa apresentação, o fluxo implementado solicita o CPF, prevê a consulta de dados pessoais em um serviço externo e encaminha o visitante para uma conversa automatizada com uma suposta representante do programa.
O destino desse percurso é uma solicitação de PIX de R$ 68,92.
Entre 25 e 26 de outubro, identifiquei cinco hostnames que respondiam com HTTP 200 e títulos relacionados ao Desenrola Brasil. O exame dos recursos permitiu reconstruir a sequência prevista pelo site sem enviar formulários nem concluir pagamentos. Essa distinção define o alcance desta investigação: pude documentar a disponibilidade na web e a lógica do cliente, não uma operação financeira consumada.
Este levantamento identifica um conjunto específico de páginas disponíveis nessas datas e descreve como elas articulam apresentação, dados pessoais, atendimento simulado e cobrança.
Cinco páginas e uma base técnica compartilhada
Os hostnames registrados como disponíveis foram:
- desenrolahoje[.]shop
- contaemdiahojedesconto[.]shop
- descontoshojequitar[.]shop
- novodescontofacil[.]shop
- desenrola-brasil-d8c8032026[.]netlify[.]app
Os quatro domínios .shop resolviam para 88.80.17.232, associada no levantamento ao AS33837, PRQ. O hostname da Netlify resolvia para infraestrutura da AWS utilizada por esse serviço.
Os recursos examinados incluíam CSS, JavaScript e imagens cujos hashes SHA-256 coincidiam com registros históricos do caso. Essa correspondência permite reconhecer arquivos idênticos e relacionar o material servido pelas páginas. Por si só, não determina se existe um único operador, um template distribuído entre terceiros ou uma cópia de uma implementação anterior.
O endereço IP compartilhado acrescenta outra relação técnica, embora não comprove propriedade comum nem responsabilidade do provedor de hospedagem. A resposta HTTP 200 tampouco garante que todas as etapas posteriores funcionassem: comprova que os servidores entregavam conteúdo durante a verificação.
O CPF como entrada para uma interação personalizada
O botão “ACESSAR AGORA” leva a /findex/. No hostname da Netlify, também foi registrada a variante /findex/index-1.
O formulário identificado como cpfForm está preparado para consultar api[.]amnesiatecnologia[.]lat usando o CPF informado e um token fixo incluído no cliente. O valor desse token foi omitido desta publicação.
Se a resposta contiver o nome esperado pelo código, a aplicação armazena nome, CPF e data de nascimento em localStorage, nas chaves site.nome, site.cpf e site.nasc. Em seguida, constrói um redirecionamento para /chat/ que inclui CPF e nome na URL e preserva os parâmetros de campanha UTM.
Essa sequência explica como a página poderia transformar um identificador informado pelo visitante em uma conversa aparentemente personalizada. O reconhecimento do nome pode reforçar a credibilidade de um atendimento falso, embora não comprove a existência de uma consulta legítima de dívidas.
Nesta investigação, não foram enviados CPFs ao serviço. Portanto, não foram verificados a resposta da API, a origem de seus dados nem a exatidão das informações que ela poderia retornar. O que se documentou foi a integração prevista no código.
A identidade pessoal também fica incorporada à navegação: a implementação insere CPF e nome no endereço de destino e os mantém no navegador. Essa exposição merece atenção pela possível presença desses dados em históricos e registros; não demonstra que todos os sistemas de rastreamento carregados pela página recebessem esses dados.
Um atendimento simulado que prepara a cobrança
A rota /chat/ exige CPF e nome, obtidos da URL ou do armazenamento local. Quando esses dados estão ausentes, exibe um aviso de dados incompletos e anuncia o retorno ao início.
Com esses valores disponíveis, o código inicia uma conversa simulada com o avatar “Leticia”, apresentada como “Atendente do Programa Desenrola Brasil”. O título da página é “Desenrola Brasil — Atendimento”.
A sequência combina a identidade visual do programa, mensagens automatizadas e um código de acordo derivado de forma determinística do CPF. Esse último elemento pode dar aparência de individualização, mas sua geração local não comprova uma negociação com um credor nem a existência de um acordo válido.
O valor fixado para o PIX é R$ 68,92. A página carrega uma biblioteca para representar códigos QR e o arquivo pix_service.js, que contém a integração destinada a solicitar a transação.
O achado descreve uma capacidade implementada. Não foi gerado um PIX de teste nem foi observada uma vítima concluindo o percurso.
Um gateway externo na etapa de transação
A classe PixService faz referência a api-gateway[.]techbynet[.]com. Seu método createTransaction prepara uma solicitação POST para /api/user/transactions e prevê autenticação pelo cabeçalho x-api-key. O código também faz referência à string AtivoB2B/1.0 como User-Agent; sua presença no arquivo não equivale a tê-la observado efetivamente transmitida pelo navegador.
A documentação pública identificada em docs[.]techbynet[.]com descreve esse endpoint. Seus exemplos mencionam a SomosSimpay como fornecedor em uma etapa posterior da cadeia de processamento.
Esses elementos permitem descrever como a aplicação pretende separar a página de captação da criação da transação. Não permitem estabelecer qual conta receberia o dinheiro, qual fornecedor processaria um pagamento específico nem se a solicitação seria aceita.
Também não foi estabelecido que os operadores das páginas controlassem de forma exclusiva o gateway ou a API de dados pessoais. Uma referência em um site investigado não demonstra a participação consciente do serviço mencionado no esquema.
Rastreamento comercial e aparência empresarial
As páginas incorporavam referências ao Google Analytics, ao pixel da utmify e a scripts ou destinos em nuescalador[.]info e subdomínios de lovable[.]app. Entre os identificadores registrados estão G-XXNP83W053 e o pixel 6a5d71a4a5544029c22493bf.
Esses valores podem servir para comparar páginas e acompanhar mudanças de implementação. Sua utilidade aumenta quando coincidem com outros elementos, como arquivos idênticos, rotas e conteúdo. Isoladamente, não identificam uma pessoa de forma conclusiva nem tornam maliciosa toda a infraestrutura de uma plataforma compartilhada.
O rodapé das páginas exibia o CNPJ 67.940.187/0001-84 e a razão social CLARA CHALITA SERVICOS DE MARKETING DIRETO LTDA. A observação se limita à sua presença no conteúdo: não foi verificado se a empresa havia autorizado esse uso nem se operava os sites. Copiar uma identidade empresarial também pode fazer parte de uma apresentação enganosa.
Contribuições para a prevenção de fraudes
Para quem busca renegociar uma dívida, a personalização do diálogo não constitui garantia de autenticidade. Uma página que conhece um nome, apresenta um suposto acordo e exibe um QR pode continuar sem vínculo com o programa e com o credor. A verificação deve ser feita por canais oficiais obtidos de forma independente, não por links fornecidos pela própria página investigada.
Para bancos, equipes antifraude, SOC e CTI, o caso propõe uma leitura conjunta dos sinais: uso indevido da identidade de um programa público, captura de CPF, consulta externa de identidade, atendimento simulado e solicitação de pagamento.
Os domínios, hashes e identificadores de rastreamento oferecem pontos de comparação para detectar réplicas. Os registros transacionais e a identificação do beneficiário seriam necessários para passar de uma cadeia prevista no código à reconstrução do percurso real do dinheiro.
A infraestrutura compartilhada exige precisão. Não cabe estender uma conclusão sobre uma landing page a todos os usuários da Netlify, da AWS, de uma plataforma de análise ou de um gateway. A análise deve preservar o contexto, a data e o papel observado de cada indicador.
Método e alcance da amostra
O levantamento corresponde aos dias 25 e 26 de outubro de 2026. Foram utilizadas consultas DNS, solicitações HTTP de baixo impacto e revisão do conteúdo e dos recursos do cliente. Não houve exploração, envio de formulários nem pagamentos.
Os cinco hostnames constituem a amostra disponível nesse recorte, não uma medição do tamanho total da operação. Outros nomes do conjunto inicial não resolveram ou não responderam durante a verificação; esse resultado não demonstra um encerramento permanente.
Não foram confirmadas a obtenção efetiva de dados pessoais, a criação de uma transação nem a liquidação de PIX. Também não foram identificados vítimas, prejuízos, beneficiários finais ou um ator responsável.
O resultado central é uma cadeia técnica documentada: páginas disponíveis que reutilizam recursos e cujo código conecta uma promessa de renegociação a dados pessoais, atendimento simulado e uma solicitação de cobrança. A continuidade de um mesmo operador ao longo do tempo permanece sem comprovação.
Fontes e materiais
A evidência do caso provém do levantamento próprio descrito nesta nota.
Os domínios são apresentados em formato desativado para evitar acessos acidentais. Tokens, chaves e parâmetros pessoais foram excluídos.
Autoria
Ezequiel Jorge La Terra
Cyber Threat Intelligence LATAM
ORCID 0009-0008-1677-4218
Como citar
La Terra, E. J. (2026). Desenrola Brasil: investigação sobre uma campanha ativa. Cyber Threat Intelligence LATAM.
Ficha
País: Brasil.
Modalidade: uso indevido da identidade de um programa público e solicitação de pagamento por PIX.
Recorte de observação: 25 e 26 de outubro de 2026.
Amostra disponível: cinco hostnames.
Valor configurado: R$ 68,92.
Atribuição: não estabelecida.
Pagamentos e liquidação: não verificados.