Anúncios verificados, destinos que não coincidem

01 · Resumo executivo

Tráfego e persuasão compartilhados, sem operador comum estabelecido

CASHCLOAK LATAM é o nome de acompanhamento que uso na Cyber Threat Intelligence LATAM para esta investigação. É um rótulo de trabalho, não o nome de um grupo nem de um ator.

02 · Principais achados

Sete achados

1. A porta de entrada é publicidade paga e verificada.Anúncios do Google no navegador e no Gmail Promoções com a legenda «Identidade do anunciante verificada pelo Google». Essa verificação atesta quem paga o anúncio, não que a oferta seja legítima.
2. Os anunciantes declarados são muitos e estão dispersos.Anunciantes declarados em pelo menos seis países (Reino Unido, Chipre, Países Baixos, Ucrânia, Austrália e Brasil), com anúncios dirigidos a usuários argentinos. Isso é coerente com um mercado de compradores de tráfego, não com um operador único.
3. O domínio do anúncio e o do destino podem não coincidir.Um anúncio que mostrava um site de moda feminina levou a uma falsa matéria de investimento em outro domínio. Isso é compatível com um redirecionamento ou com cloaking; do lado do usuário não é possível determinar qual dos dois ocorreu.
4. O Mercado Libre é a marca mais usada como isca,em pelo menos três formatos: falsa matéria com chat, chatbot de «gestor pessoal» e «CFD do Mercado Pago». Compartilhar a marca não demonstra que compartilhem operador.
5. Um site com a marca Balanz pede o cartão completo com código de segurança.Não é a Balanz. Pedir o CVC em um formulário próprio para «depositar» é um sinal de risco grave, embora não tenha sido possível confirmar que cartões foram roubados.
6. Nem tudo o que aparece neste circuito é fraude.Uma landing de «Guia de Créditos ANSES» mostrava conteúdo temático sem pedir dados sensíveis. Ela é incluída como contexto, não como phishing.
7. Um anúncio verificado apontava para um subdomínio genéricoque não remete a nenhuma marca conhecida. É publicado como indicador de busca, sem afirmar que conteúdo servia.

03 · Escopo

O que esta publicação é e o que não é

O alcance é a experiência do usuário que documentei: anúncios exibidos em um celular, informações da «Minha central de anúncios» e páginas abertas a partir dessa interação. Conservo as capturas originais e os SHA-256 registrados no arquivo de evidências da investigação. Este relatório não apresenta uma medição de audiência, um teste de backend ou um inventário completo da infraestrutura.

Anunciante declarado, domínio exibido, landing e conversão são papéis diferentes. Não se atribui responsabilidade a pessoas nem se demonstra controle dos destinos pelos anunciantes. Google, Mercado Libre, Balanz, YPF, La Nación, ANSES e os bancos citados aparecem como plataformas ou marcas utilizadas; sua presença não demonstra participação na fraude.

Os papéis antes dos nomes

Não nomeio nem identifico de nenhuma forma os anunciantes que aparecem como pagadores, nem indico de que tipo são; seus dados vão apenas para a plataforma, pelo canal de denúncia correspondente. Falo somente do país declarado, porque o que importa é o padrão e não quem aparece como titular.

04 · O sinal de confiança

O que um anúncio «verificado» prova e o que não prova

A evidência registra a legenda «Identidade do anunciante verificada pelo Google» e a localização declarada ao consultar o anúncio. A observação cobre esse disclosure, não uma auditoria do processo de verificação ou confirmação independente da identidade do titular.

A informação ajuda a preservar contexto e a denunciar um anúncio, mas não comprova legitimidade da oferta nem controle do destino. O relatório considera afiliados e intermediários como explicações possíveis; não confirma que algum desses papéis corresponda a cada pagador.

A hipótese de persuasão é que a verificação, somada ao desenho de um jornal ou a uma marca conhecida, pode transmitir confiança à oferta. O estudo não mediu essa percepção nem a taxa de conversão. A distinção operacional é examinar tanto o anúncio quanto a página efetivamente aberta.

05 · O percurso

Da atenção ao dado

As verticais observadas não percorrem todas as mesmas etapas, mas se encaixam em um esquema comum:

1. Anúncio pago«Patrocinado», com identidade do anunciante verificada.
2. Domínio exibido → destino real às vezes diferentesO site do anúncio pode não ser a página que se abre.
3. PersuasãoFalsa matéria, marca conhecida, autoridade emprestada, urgência.
4. ConversãoChat · telefone (+54) · cartão completo com CVC.
5. Próximo passo fora da páginaLigação, «fiança», «depósito».

As setas descrevem o percurso de um usuário, não uma relação entre operadores. Que dois destinos compartilhem uma etapa não significa que sejam operados pela mesma pessoa.

06 · Percurso dos anúncios

Seis verticais e um destino genérico

Vistas uma a uma, parecem golpes isolados. O que se observa é que quase todas chegaram pelo mesmo caminho: publicidade paga, exibida como «Patrocinado» no navegador, na aba Promoções do Gmail ou em redes de anúncios nativos. Alguns destinos pedem dados de cartão; outros, um telefone; outros só mostram conteúdo. Nem todos são fraude, e isso é esclarecido em cada caso.

07 · Padrão

O que compartilham: um repertório, não um servidor

• Autoridade emprestada. Um jornal nacional, uma petroleira estatal, bancos, uma corretora, um órgão público, o maior marketplace da região.
• Verificação como escudo. O anúncio «verificado» transfere sua credibilidade ao destino, embora cubra apenas o pagador.
• Promessas desproporcionais. 450%, 150.000 pesos transformados em 5.000.000 por mês, alavancagem de 200:1.
• Uma cobrança antecipada. «Fiança», «depósito mínimo», «depositar com cartão».
• Uma conversão que sai da página. Chat, ligação, formulário: o dano se completa em um canal que a página não mostra.

Esse repertório é compatível com um mercado de modelos, afiliados e compradores de tráfego. Não foi possível estabelecer um operador comum, e a diversidade de pagadores e países sugere o contrário: muitos atores que competem pelas mesmas vítimas com as mesmas ferramentas.

08 · Nível de certeza

O que está demonstrado e o que não está

09 · Impacto

Quem é atingido e onde

Usuários. As peças documentadas combinam marcas conhecidas, aparência jornalística e promessas de investimento. O risco descrito é fornecer dados ou avançar para um pagamento com base nesses sinais. Não há contagem de pessoas enganadas.

Marcas suplantadas. O uso da identidade cria riscos reputacionais e de suporte. O relatório não quantifica reclamações, dano à marca ou participação das entidades citadas.

Bancos e fintechs. Exposição do cartão, transferências e chamadas posteriores são pontos para comparar com registros próprios. A investigação não confirma cobranças, perdas, cartões roubados ou uma operação bancária específica causada pelos anúncios.

Plataformas publicitárias. A divergência observada entre domínio exibido e destino cria uma questão verificável sobre aquele percurso. Não demonstra, por si só, cloaking, um bypass específico ou o que o revisor da plataforma viu.

10 · Indicadores

Indicadores de comprometimento (IOCs)

Sete domínios, todos desativados com [.] (defang): não os visite. Para importá-los, substitua [.] por .. first_seen é a data da minha primeira observação (horário da Argentina), não a de criação do domínio.

• BLOCK destinos com conteúdo fraudulento observado. Podem ser bloqueados por FQDN.
• HUNT buscar em registros de DNS e proxy; não bloquear sem análise própria.

11 · Técnicas

Mapeamento para o MITRE ATT&CK

O ATT&CK é usado apenas onde representa bem o que foi observado.

Como complemento, o MITRE Fight Fraud Framework (F3) é mais adequado que o ATT&CK Enterprise para descrever fraude financeira contra consumidores.

12 · Recomendações

O que fazer, segundo o papel

13 · Método e limitações

Como foi feito e até onde chega

Método

• Observação passiva, como usuário. Anúncios exibidos em um celular durante dois dias de uso normal (30/9 e 1/10/2026, horário da Argentina), no navegador, no Gmail Promoções e em redes de anúncios nativos.
• Fonte do pagador. As informações públicas da «Minha Central de Anúncios» do Google para cada anúncio: pagador declarado, localização e status de verificação.
• Destinos. Apenas as páginas que se abriram ao tocar no anúncio, documentadas com capturas guardadas com seu hash criptográfico.
• Linguagem de certeza. Cada afirmação é marcada como observada, avaliada (com nível de confiança) ou não estabelecida.

Limitações

• É uma amostra pequena: um celular, dois dias. Não mede prevalência nem alcance.
• Do lado do usuário não é possível distinguir um redirecionamento de um cloaking, nem saber o que outro visitante ou o revisor da plataforma vê.
• Não há captura do conteúdo do destino genérico, e não ficou registrado qual anúncio levou ao formulário com a marca Balanz.
• Não foram estabelecidas relações técnicas entre destinos; as coincidências de modelo são avaliações de confiança moderada.
• Não se sabe quem opera os destinos, se algum compartilha dono com outro nem quantas pessoas deixaram seus dados.
• Os destinos podem mudar ou alterar o conteúdo depois da observação.

14 · Conclusão

A porta de entrada, não a infraestrutura

A documentação permite comparar portas de entrada e técnicas de persuasão, não consolidar todos os destinos em infraestrutura atribuída. Público, marca ou template avaliado como semelhante não estabelecem proprietário, backend ou operador comum.

A leitura de «mercado de tráfego» organiza uma hipótese para esta amostra. Não prova a inexistência de uma quadrilha nem identifica quantos operadores participaram. CASHCLOAK continua sendo o nome de acompanhamento do estudo, não a identidade de um ator.

Ao reutilizar a evidência, preserve percurso, data, classificação e questões não resolvidas de cada caso. As observações de 30/09 e 01/10 não certificam a atividade dos destinos depois dessas datas. Não são unidos vínculos que o relatório não demonstra.

15 · Divulgação coordenada

Divulgação coordenada

16 · Citação e licença

Como citar

@techreport{laterra2026cashcloak,
  author      = {La Terra, Ezequiel Jorge},
  title       = {{CASHCLOAK LATAM}: anúncios verificados e destinos de fraude
                 de investimento e de cartão dirigidos a usuários argentinos},
  institution = {Cyber Threat Intelligence LATAM},
  number      = {CTI-LATAM-2026-001},
  year        = {2026},
  note        = {Edição pública v2, TLP:CLEAR},
  url         = {https://cyberthreatintelligence.lat/pt/relatorio/cashcloak-latam/},
}

Licença

Textos e dados sob Creative Commons Atribuição 4.0 Internacional (CC BY 4.0). Podem ser reutilizados e adaptados, inclusive para fins comerciais, citando a autoria.

Aviso

Esta publicação descreve observações feitas como usuário e avaliações analíticas sinalizadas como tais. Não atribui responsabilidade a pessoas nem a empresas. Os anunciantes declarados são mencionados apenas pelo país e não se presumem responsáveis pelos destinos. As marcas e plataformas citadas são vítimas de falsificação ou prestadoras de um serviço, não partes. As correções são publicadas no registro de correções, com a respectiva data.