💻 computer science

Uncovering Black-hat SEO based fake E-commerce scam groups from their redirectors and websites

Este estudo analisa um conjunto de dados abrangente de 692.865 sites de e-commerce falsos coletados pelo Centro de Controle de Cibercrime do Japão para identificar e rastrear grupos de ameaças que utilizam técnicas de SEO de chapéu preto e redirecionadores para enganar usuários, estimando a atividade de 17 grupos principais ao longo de dois anos e meio.

Autores originais: Makoto Shimamura, Shingo Matsugaya, Keisuke Sakai, Kosuke Takeshige, Masaki Hashimoto

Publicado 2026-03-31

📖 4 min de leitura☕ Leitura rápida

CC BY 4.0

Autores originais: Makoto Shimamura, Shingo Matsugaya, Keisuke Sakai, Kosuke Takeshige, Masaki Hashimoto

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que a internet é uma grande cidade cheia de lojas. A maioria é honesta, mas existe um grupo de golpistas que constrói lojas falsas (os "sites de e-commerce falsos") para roubar o dinheiro e os dados das pessoas.

O problema é que essas lojas falsas são muito difíceis de encontrar porque elas se escondem. É aqui que entra o "truque" dos golpistas: o SEO Preto (Black-Hat SEO).

O Grande Truque: O Espelho Distorcido

Pense nos golpistas como mestres do disfarce. Eles não constroem apenas a loja falsa; eles invadem lojas legítimas e confiáveis (como um site de notícias ou um blog de receitas) e colocam um "espelho mágico" dentro delas.

Quando você procura algo no Google (ex: "comprar tênis barato"), o Google mostra o resultado.
Se você clicar, o site invadido (o "redirecionador") usa o espelho mágico para dizer: "Olha, este site de notícias está mostrando uma oferta incrível!".
Na verdade, o site de notícias não tem nada a ver com isso. O espelho te redireciona instantaneamente para a loja falsa dos golpistas.
Você acha que está em um lugar seguro, mas caiu na armadilha.

O Que os Pesquisadores Fizeram (A Investigação)

Este estudo, feito por especialistas do Japão (da Trend Micro e da Polícia), foi como uma detetive digital tentando descobrir quem são os donos dessas redes de lojas falsas.

Eles tinham um problema: antes, eles tentavam achar o "espelho" (o vírus no site invadido), mas era como tentar achar uma agulha em um palheiro. Eles não conseguiam ver todos os espelhos.

A Nova Estratégia:
Em vez de procurar o vírus, eles focaram nas lojas falsas que já sabiam que existiam. Eles reuniram um arquivo gigantesco com 692.865 sites falsos coletados ao longo de 2 anos e meio.

Para descobrir quem estava por trás de tudo, eles usaram uma ferramenta chamada Maltego. Imagine que o Maltego é um fio de lã vermelho que conecta pontos num mapa.

Se duas lojas falsas usam o mesmo e-mail para contato, o fio as conecta.
Se usam o mesmo contador de visitas (como o Matomo ou 51.la), o fio as conecta.
Se usam o mesmo servidor, o fio as conecta.

Ao ligar todos esses pontos, eles viram que os sites não eram aleatórios. Eles formavam grupos (como gangues).

O Que Eles Descobriram?

As "Gangues" Principais: De todos os sites analisados, eles conseguiram identificar 17 grandes grupos de criminosos. Alguns desses grupos são como "mafias" que operam há anos, sempre ativos. Outros são grupos menores que aparecem e somem rápido.
O Comportamento: Eles olharam para o tempo (como um calendário) e viram que, quando um grupo parava de operar, outro surgia no mesmo lugar. Isso sugere que, às vezes, é a mesma equipe apenas mudando de nome ou de tática.
O Novo Golpe (O Caso do Estorno): O estudo mostrou um caso real onde esses grupos usaram um novo truque. Eles fingiam que o produto estava "sem estoque" e ofereciam um estorno de dinheiro (refund). Mas, em vez de devolver o dinheiro, eles enviavam um código para a vítima que, na verdade, transferia o dinheiro para o golpista.
- A descoberta importante: Eles viram que dois dos maiores grupos (G1-1 e G2-1) estavam usando esse mesmo novo golpe. Isso prova que essas "gangues" compartilham estratégias. Se um descobre um jeito novo de roubar, o outro logo copia.

Por Que Isso é Importante?

Antes, a polícia e os pesquisadores viam apenas os sintomas (o site falso). Agora, eles conseguem ver a estrutura criminosa por trás.

Para a Polícia: Em vez de prender apenas o dono de um site, eles podem rastrear toda a "gangue" e desmantelar a operação inteira.
Para a Segurança: Eles descobriram que muitos desses grupos usam contadores de visitas específicos (como o Matomo). Se um site usa um desses contadores suspeitos, é um sinal de alerta vermelho: "Cuidado, isso pode ser uma loja falsa".

Resumo em uma Frase

Os pesquisadores usaram uma rede de conexões (como fios de lã) para ligar milhares de lojas falsas e descobrir que elas pertencem a apenas algumas "gangues" criminosas organizadas, permitindo que a polícia e a sociedade se protejam melhor contra esses golpes que se escondem atrás de sites legítimos.

Título: Desvendando Grupos de Golpes de E-commerce Falso Baseados em SEO Black-Hat a Partir de seus Redirecionadores e Sites

1. O Problema

Golpes de e-commerce falso (fake EC) representam uma ameaça crescente e significativa aos usuários da internet, resultando em danos financeiros substanciais e roubo de dados pessoais. No Japão, o número de sites fraudulentos reportados aumentou drasticamente (de 28.818 em 2022 para 47.278 em 2023).
Uma das principais técnicas utilizadas por atores de ameaças para atrair vítimas é o SEO Black-Hat (também conhecido como "SEO Poisoning" ou "Japanese Keyword Hack"). Neste esquema:

Malwares são instalados em sites legítimos comprometidos (denominados neste estudo como "redirecionadores").
Esses redirecionadores interceptam solicitações de motores de busca e injetam páginas de isca (lure pages) que parecem legítimas.
Quando um usuário clica no resultado de busca, é redirecionado para um site de e-commerce falso onde ocorre o golpe.
O desafio principal identificado pelos autores é a dificuldade em mapear a infraestrutura completa e identificar os grupos de atores de ameaça por trás dessas operações, especialmente devido à falta de amostras completas de malware e à complexidade das redes de redirecionamento.

2. Metodologia

A pesquisa utilizou uma abordagem baseada em análise de links e séries temporais, empregando um conjunto de dados de alta qualidade coletado pelo Centro de Controle de Cibercrime do Japão (JC3).

Conjunto de Dados:
- Período: 20 de maio de 2022 a 31 de dezembro de 2024.
- Volume: 692.865 sites de e-commerce falso coletados a partir de redirecionadores.
- Entidades analisadas: 105.286 domínios, 13.456 endereços de e-mail, 36 servidores Matomo e 4.958 IDs do serviço de análise de tráfego "51.la".
- Nota: Diferente de estudos anteriores que dependiam de amostras de malware, esta análise focou em entidades extraídas diretamente dos sites falsos, pois os redirecionadores não permitiam a identificação direta do malware instalado.
Técnicas de Análise:
1. Análise de Links (Maltego): Os autores utilizaram a ferramenta Maltego e scripts personalizados (Python) para visualizar e agrupar entidades. Foram definidos três tipos de conexões para formar grafos:
  - Domínio $\rightarrow$ Endereço de E-mail.
  - Domínio $\rightarrow$ Servidor Matomo (usado para rastrear visitantes).
  - Domínio $\rightarrow$ ID 51.la (serviço de análise de acesso popular na Ásia).
2. Algoritmo de Agrupamento: Um algoritmo de busca em profundidade (DFS) foi aplicado para identificar componentes conectados (clusters) no grafo.
3. Filtragem e Subgrupos:
  - Inicialmente, foram detectados 1.118 grupos.
  - Aplicou-se um filtro de tamanho (mínimo de 200 domínios e 2.000 sites) para focar em grupos significativos.
  - Realizou-se uma segunda etapa de "quebra" de grupos: removeram-se entidades de conexão fracas (exceto servidores Matomo, assumindo que estes são compartilhados com menos frequência entre grupos distintos) para separar subgrupos que haviam sido erroneamente agrupados.
4. Análise de Séries Temporais: Após a identificação dos grupos, analisou-se a atividade mensal de domínios para traçar tendências, duração da atividade e possíveis sucessões entre grupos (quando um grupo inativo é substituído por outro).

3. Contribuições Principais

Estimativa Quantitativa de Grupos: Pela primeira vez, estimou-se o número de grupos de atores de ameaça ativos em golpes de e-commerce no Japão usando um conjunto de dados massivo e in-depth, identificando 17 grupos relativamente grandes e ativos.
Análise Temporal Dinâmica: Forneceu uma visão temporal da atividade desses grupos, permitindo identificar quais operam de forma contínua (longo prazo) e quais são efêmeros, além de sugerir relações de sucessão entre grupos.
Validação de Caso de Uso (Golpe de Reembolso): Demonstrou a eficácia da metodologia ao vincular sites de um alerta oficial da Agência de Assuntos do Consumidor do Japão a grupos específicos, revelando que múltiplos grupos estão adotando uma nova estratégia de golpe de reembolso.

4. Resultados Chave

Identificação de Grupos: Dos 1.118 grupos iniciais, após filtragem e refinamento, foram isolados 17 grupos principais (incluindo subgrupos como G1-1, G2-1, etc.).
- O grupo G1-1 e o G2-1 foram os maiores, contendo milhares de domínios e centenas de milhares de sites.
- O grupo G1-1 foi ativo durante todo o período do conjunto de dados, enquanto outros (como G5 e G6) cessaram suas atividades antes do final do período.
Padrões de Infraestrutura:
- Grupos maiores tendem a utilizar Matomo para análise de tráfego, o que pode servir como um indicador de comprometimento.
- Grupos menores tendem a utilizar massivamente o serviço 51.la, sugerindo que podem compartilhar ferramentas ou manuais específicos.
- A relação entre o grupo G2 e G3 foi suspeitada devido ao uso compartilhado do domínio de servidor Matomo la51[.]xyz, embora não tenham sido confirmados por e-mails ou IDs.
Caso de Estudo (Golpe de Reembolso):
- A análise vinculou quatro sites de alerta do governo japonês aos grupos G1-1 e G2-1.
- Revelou-se que esses grupos, anteriormente conhecidos por golpes de venda, agora estão utilizando uma estratégia de "golpe de reembolso", onde a vítima é induzida a enviar dinheiro através de um aplicativo de pagamento sob a promessa de um reembolso por produto esgotado.
- Isso indica que estratégias de fraude podem ser compartilhadas ou replicadas rapidamente entre diferentes grupos de atores de ameaça.

5. Significado e Implicações

Para Aplicação da Lei: O estudo fornece blocos de construção para a atribuição de crimes cibernéticos. Ao identificar grupos específicos e suas infraestruturas (como servidores Matomo ou padrões de e-mail), as agências podem rastrear atividades de longo prazo e focar em grupos que não mostram sinais de inatividade iminente.
Para Defesas Técnicas: A identificação de servidores Matomo suspeitos e o uso excessivo de IDs 51.la podem servir como indicadores de comprometimento (IOCs) para filtrar e bloquear sites de e-commerce falsos antes que as vítimas sejam atingidas.
Compreensão do Ecossistema: A pesquisa esclarece que o cenário de ameaças não é apenas uma coleção de sites isolados, mas uma rede organizada em grupos distintos, alguns dos quais operam por anos, adaptando-se a novas táticas (como o golpe de reembolso) rapidamente.

Em suma, o trabalho avança a compreensão sobre a escala e a organização dos golpes de e-commerce no Japão, oferecendo uma metodologia escalável para desmantelar a infraestrutura de atores de ameaças baseados em SEO Black-Hat.