Correo Argentino: cloaking de seis sinais e um chat que solicita dados do cartão

O que foi observado e o que permanece sem confirmação

A investigação da falsificação de identidade do Correo Argentino não termina em uma página clonada. O percurso documentado combina uma suposta «taxa de liberação de encomenda», um chat que pede número do cartão, validade e código de segurança, e uma imagem do pacote personalizada com os dados informados. Outra versão do mesmo site apresenta uma loja de planilhas de Excel.

O ponto central é a diferença de apresentação. Conforme o perfil da visita, aparecia o fluxo que solicitava dados ou uma fachada comercial. A lógica de decisão foi reconstruída comparando comportamentos entre perfis; não houve validação de uma transação com o banco emissor.

A resposta do chat não comprova uma autorização bancária. A aparente validação instantânea do cartão é tratada como inferência. A página não confirma cobranças nem comunicação efetiva com o emissor.

A imagem com nome e endereço reforça a isca da encomenda. O que se observou foi o resultado personalizado durante a conversa, não uma implementação verificada de seu gerador interno. Os detalhes sobre arquivos do servidor, administração e lógica de pagamentos retirados anteriormente não são restituídos.

Resumo técnico do fluxo documentado

• Apresentação seletiva: falsificação postal e loja de planilhas sob perfis diferentes de acesso.
• Coleta por conversa: um chat solicitando dados completos de cartão; aparente verificação em tempo real, não confirmada com o emissor.
• Personalização: imagem de pacote com dados da pessoa e etiqueta que parece manuscrita.
• Marcas observadas: a investigação descreve falsificações do Correo Argentino e do Correo de Chile. As marcas não são apresentadas como participantes da fraude.

Esses componentes descrevem o percurso visível. Não estabelecem o país de origem do kit, seu operador ou o destino final do dinheiro. Os sinais de cloaking tampouco medem o número de visitas ou vítimas da campanha.

Os seis sinais da reconstrução de cloaking

A nota original organiza a reconstrução em seis sinais. Essa estrutura é preservada, separando o comportamento observado das explicações sobre implementação. Não se trata de nova execução do kit nem de certificação independente de seu código.

1. Dispositivo e origem do tráfego. Nas visitas descritas, o fluxo fraudulento aparecia em celulares vindos de anúncios pagos com parâmetros de rastreamento; visitas de desktop recebiam outra apresentação. O resultado se limita aos perfis testados.
2. User-Agent e Client Hints. A reconstrução propõe comparar o navegador declarado com sinais da plataforma. O exemplo contrapõe User-Agent de iPhone a Windows ou macOS; não estabelece o resultado para todos os perfis possíveis.
3. Sinais de DevTools. A análise descreve diferenças entre dimensões da janela e da área visível, além de uma verificação com getter de um objeto Image e console.log. Permanecem como mecanismos descritos na investigação, sem recuperar detalhes internos retirados ou acrescentar código de evasão.
4. Movimento do mouse. O artigo associa esses eventos à exclusão da versão fraudulenta e a um cookie de «não alvo». A expressão anterior «para sempre» não é comprovada por um período limitado de observação; não se afirma uma duração verificada.
5. Indícios de automação. A reconstrução descreve a comparação do User-Agent com padrões de bots e ferramentas de teste, associada à ocultação do fluxo fraudulento.
6. Persistência do resultado do filtro. A repetição da fachada por vários dias motivou a hipótese de uma lista persistente de bloqueio de IPs. A própria nota informa que sua duração não pôde ser verificada. Essa inferência não equivale a acessar uma lista armazenada no servidor.

A origem do tráfego é uma hipótese separada

As observações declaradas incluem distribuição pelo Google Ads e Facebook Ads. Uma pergunta diferente, ainda aberta, é se redes de afiliados ligadas a streaming de futebol não autorizado fornecem uma parcela importante do tráfego. O caso não comprova essa origem nem quantifica sua participação.

A hipótese propõe que um conjunto de visitas poderia ser distribuído entre APK malicioso, falso suporte técnico e phishing conforme o perfil. É uma explicação possível do negócio, não a constatação de que os três destinos foram observados nesta investigação. A segmentação do site, por si só, não demonstra uma relação com redes de afiliados.

Método, inferências e leitura complementar

O material de origem apresenta as duas versões do site, os anúncios, as solicitações no chat e a imagem personalizada como observações do autor. Validação com o emissor, lista de bloqueio e origem do tráfego têm limites de evidência diferentes, que devem permanecer separados. Uma resposta do formulário não se transforma em confirmação bancária.

A revisão de 7 de outubro também retirou uma atribuição de origem e detalhes internos sem base passiva ou pública. Esta versão preserva essas decisões e reorganiza o texto para que o resumo não afirme mais que o método.

Como leitura complementar, o relatório CASHCLOAK LATAM sobre anúncios e destinos enganosos distingue observação, avaliação e atribuição. Esse link não demonstra operador ou infraestrutura comum entre os casos.

A versão para download foi retirada temporariamente enquanto é atualizada. O conteúdo vigente é o desta página.