Um golpe em rápido crescimento se faz passar pelos departamentos de planejamento municipal e distrital, enviando aos proprietários faturas com aparência real de taxas de licença falsas e pressionando-os a transferir o pagamento dentro do prazo. Como a vítima autoriza a transferência, os pagamentos geralmente passam pelas verificações comportamentais criadas para detectar fraudes, tornando as contas dos beneficiários um dos sinais mais confiáveis para rastrear esta campanha. Uma pesquisa da CYBERA, parceira por trás do Recorded Future® Money Mule Intelligence, mapeia um único anel ativo até as contas verificadas que ele usou e mostra por que o envolvimento direto do fraudador e a inteligência no nível da conta detectam o que a pontuação não consegue.
O FBI soou o alarme. Os emissores ainda não conseguem ver
Em 9 de março de 2026, o Centro de Reclamações sobre Crimes na Internet do FBI emitiu um alerta público sobre criminosos que se fazem passar por autoridades municipais e distritais para cobrar taxas fraudulentas de planejamento e licenciamento de zoneamento. Os criminosos obtêm registros de licenças disponíveis publicamente, enviam e-mails aos proprietários que possuem aplicativos ativos e exigem pagamento por transferência eletrônica, transferência ponto a ponto ou criptomoeda.
Esquemas de falsificação de identidade governamental como este estavam entre as categorias de crescimento mais rápido no FBI Relatório de crimes na Internet de 2025com perdas relatadas quase dobrando ano após ano, para cerca de US$ 798 milhões. Embora o alerta aumente a conscientização pública, ele pouco ajuda a ajudar os emissores a avaliar os pagamentos dos clientes em relação ao risco aumentado que esses golpes de falsificação criam.
Por que um pagamento autorizado derrota seus controles
Nesse esquema, o cliente é real, o login é legítimo e a transferência é aquela que o cliente escolhe enviar. Os modelos de análise comportamental são geralmente criados para sinalizar apropriação de contas e atividades fora do padrão, de modo que os pagamentos autorizados pelo cliente tendem a ser classificados como de baixo risco e o dinheiro se move.
Esses sinais de fraude não residem no comportamento do remetente. Eles moram no destino: a conta do beneficiário (ou mula) que o golpista usará para sacar os fundos roubados. Isso faz com que essa conta mula o único sinal que geralmente separa um pagamento legítimo de um pagamento fraudulento.
Veja como funciona o esquema, de acordo com o alerta do FBI e CYBERA pesquisar:
- Seleção de alvo: os atores identificam os proprietários com planejamento ativo ou aplicações de zoneamento usando registros públicos
- Representação: eles enviam um e-mail para esses proprietários enquanto se passam pelo departamento de planejamento municipal, citando licenças reais e detalhes da propriedade para estabelecer credibilidade com o alvo
- A fatura: eles enviam uma fatura com aparência oficial cobrando uma taxa de aprovação ou processamento
- A pressão: exigem uma transferência em um prazo curto e avisam que o pedido será reprovado se for perdido
- A confirmação: eles pedem o recibo da transferência bancária para confirmar o pagamento recebido
O que o envolvimento direto revela que a pontuação não pode
A pesquisa da CYBERA sobre um anel ativo, que ela monitora desde setembro de 2025 sob o nome interno Diligent Planner, mostra como é esse sinal de destino na prática. Em vez de estimar o risco, os analistas da CYBERA envolvem-se diretamente nas operações fraudulentas e recolhem as contas exatas para as quais os criminosos pedem às vítimas que transfiram dinheiro.
Nesta única operação, essa abordagem produziu 53 contas mule verificadas, abrangendo 23 campanhas de e-mail separadas, com cerca de 55% das contas concentradas em apenas dois bancos beneficiários. Estas são contas confirmadas extraídas dos próprios criminosos, e não correspondências probabilísticas, o que pode ser a diferença entre uma conta na qual você pode agir e uma pontuação que você precisa adivinhar.
Figura 1: Mapeamento da CYBERA de um único círculo de mulas de dinheiro, expandido de um banco beneficiário para um grupo conectado de contas, e-mails e órgãos governamentais personificados (Fonte: CYBERA)
Uma operação, desenvolvida em escala
O anel não é uma série de golpes não relacionados. A CYBERA mapeou-a num único cluster conectado de bancos, contas, e-mails, números de telefone e órgãos governamentais personificados, começando por um banco beneficiário e expandindo-se para fora até que a estrutura da operação se tornasse visível.
Três padrões tornam-no repetível:
- Identidades de remetente descartáveis: os atores usam um serviço de webmail gratuito que lhes permite enterrar o nome de uma cidade, condado ou estado na parte local do endereço enquanto o domínio real permanece fixo, o que torna a rotação de identidades de remetente barata e rápida
- Contas nacionais, operadores estrangeiros: as contas mule são baseadas nos EUA, então o dinheiro parece local, enquanto os cabeçalhos de e-mail vinculam grande parte da atividade a um provedor de Internet nigeriano, juntamente com hospedagem nos EUA e prováveis saídas de VPN
- Trilhos em movimento rápido: perto de metade das contas apresentam estruturas de contas virtuais comuns a uma plataforma específica de processamento de pagamentos, que suportam a criação rápida de contas, fluxos compartimentados e rápida movimentação de fundos a jusante
A CYBERA também observou que o anel se deslocava para baixo do mercado em direção a instituições regionais menores, e se afastava dos fios para trilhos peer-to-peer instantâneos, sendo as solicitações baseadas em cartões um provável próximo passo. A atividade começou em 2025 e acelerou até 2026, acompanhando a tendência dos relatórios do FBI.
Rastreie o destino com inteligência de mula verificada
Este é o problema Recorded Future® Inteligência de mula de dinheiro foi construído para resolver. Money Mule Intelligence é um recurso complementar ao Recorded Future que fornece inteligência verificada sobre as contas bancárias usadas ativamente para sacar fundos fraudados.
Como as contas são confirmadas por meio de envolvimento direto, em vez de pontuadas, as equipes de fraude e conformidade obtêm maior confiança para agir e evidências para documentar a decisão. As equipes analisam pagamentos de saída, novos beneficiários e solicitações de alteração de conta em relação à lista verificada antes que o dinheiro saia da instituição.
Como o Futuro Gravado Fraude de pagamento solução, estas listas confirmadas permitem que as instituições financeiras atuem com base em sinais externos que a monitorização comportamental por si só pode ignorar. A inteligência externa sobre ameaças tem sido fundamental para que os programas de prevenção de fraudes avançassem para a “esquerda do boom”. O valor desses sinais só aumenta à medida que os golpes continuam a crescer em termos de volume e sofisticação.
Onde reside a fraude e como agir sobre ela
Saber que seus clientes estão sendo alvo de uma campanha fraudulenta específica é um aviso útil, mas a defesa contra essa ameaça difícil de detectar requer inteligência de qualidade sobre a infraestrutura rastreável e os métodos que os golpistas estão aproveitando consistentemente. Veja como o Money Mule Intelligence se adapta aos seus fluxos de trabalho de pagamento e triagem de beneficiários: solicite uma demonstração.
Pesquisa CIBERA por Claudio Staub e Dan Hoffman.
