SEO Hijack: Sites de phishing em primeiro lugar no ranking do Bing

Os dois vetores de ataque

Nossa investigação revelou que duas operações paralelas e completamente diferentes em andamento simultaneamente para levar sites de possibly phishing ao topo dos resultados do Bing e do DuckDuckGo.

Vetor A: O ataque de injeção na SERP do Yahoo

Pode-se dizer que este é o o mais elegante do ponto de vista técnico ataque de SEO black-hat que documentamos em 2026. Ele explora uma falha fundamental na forma como o Bing avalia a autoridade dos links — mais especificamente, sua incapacidade de distinguir entre links editoriais genuínos e páginas de resultados de busca geradas dinamicamente a partir de domínios confiáveis.

O mecanismo — passo a passo

Etapa 1 — Geração da URL da operadora confiável. Os invasores criam URLs nos pontos de acesso da pesquisa móvel do Yahoo em vários subdomínios internacionais: [REDACTED] (Noruega), [REDACTED] (França), [REDACTED] (México), [REDACTED] (Polônia), [REDACTED] (Grécia), [REDACTED] (Quebec), [REDACTED] (suíço-francês), [REDACTED] (Colômbia). Essas páginas apresentam o Índice de Autoridade herdado do Yahoo: 23–24.

Etapa 2 — Inserção do link de possibly phishing. Cada URL contém uma consulta de busca totalmente aleatória e inofensiva — “pele+fifa”, “Jean-Paul+Sartre”, “Radio+Stars”, “jucheck.exe” —, mas o texto de âncora diz: curvefi.co Curve Finance. As consultas aleatórias garantem que os filtros de spam não identifiquem nenhum padrão.

Etapa 3 — Rastreamento e indexação forçados. Os invasores fazem com que o Bingbot rastreie essas URLs por meio de serviços de ping em massa, injeções de comentários em fóruns e blogs e ferramentas automatizadas de acionamento de rastreamento.

Dados brutos da SEMrush — curvefi.co

A ironia brutal: O site tem zero palavras-chave orgânicas, zero tráfego no banco de dados da SEMrush — mas aparece nos resultados do Bing/DDG para “Curve Finance” devido à autoridade emprestada pelo Yahoo.

Vetor B: A rede PBN coordenada

É aqui que a investigação se torna realmente alarmante. Cinco sites de possibly phishing distintos — rabbys.at, dexscreener.at, monero-wallet.at, trezorsuite.at e [REDACTED] — todos têm em comum um conjunto idêntico de fontes de backlinks. Isso não é coincidência. Isso é uma única operação criminosa organizada realizar várias campanhas de possibly phishing a partir de uma única infraestrutura.

A Prova Irrefutável — Infraestrutura Compartilhada

Perfis de domínios de possibly phishing

A fábrica de artigos alimentada por IA

A variante aster-dex.at utiliza um abordagem híbrida, combinando a técnica de injeção do Yahoo com conteúdo de blog gerado por IA, publicado em sites comprometidos ou criados especificamente para esse fim no Vietnã, na Itália, na Indonésia e na Suíça.

Todos os artigos do blog têm títulos quase idênticos: “Por que as trocas de tokens e os pools de liquidez ainda confundem até mesmo os traders mais experientes de DEX”, “Por que os formadores de mercado automatizados ainda surpreendem os operadores”. São eles: Artigos gerados por IA colocados em sites com AS 21–36, todos com links para aster-dex.at.

Infiltração de spam nos comentários

O [REDACTED] adota uma abordagem totalmente diferente — puro spam de comentários em sites de alta autoridade que não têm relação alguma com o assunto. Nomes de usuário falsos como “ZackaryThymn”, “Fritzkah” e “Jamesboach” inserem links para carteiras de criptomoedas em sites de ensino de filosofia (filozofija.edu.rs, AS 45), plataformas de engajamento dos funcionários ([REDACTED], AS 63) e festivais de arte ([REDACTED], AS 50).

O Pior de Todos: Spam de Ferramentas Automatizadas

bscscan.cfd usa o método mais rudimentar possível: pacotes pagos de backlinks em massa provenientes de sites cujos nomes são, literalmente, [REDACTED] e [REDACTED]. Todas as fontes têm AS = 0. O TLD .cfd é um indicador conhecido de spam. No entanto, no Bing, mesmo isso funciona parcialmente — o volume de links de baixa qualidade pode influenciar as classificações em domínios totalmente novos, sem histórico negativo.

Por que o Bing e o DuckDuckGo são particularmente vulneráveis

Estratégia de segmentação por palavras-chave

Os perfis de palavras-chave revelam precisão cirúrgica na seleção de alvos. Os operadores visam não apenas termos de marca primários, mas também typosquats (“carteira rabino”, “carteira Rubby”, “dexscrenner”) e até mesmo consultas em chinês (“Bolsa Aster” (25º lugar).

Contexto histórico: O problema da [REDACTED] / DuckDuckGo

Mesmo depois que a [REDACTED] deixou de usar o DDG como padrão, a vulnerabilidade subjacente persiste. Qualquer usuário que escolhe manualmente o DuckDuckGo por uma questão de privacidade — um grupo demográfico que se sobrepõe amplamente aos usuários de criptomoedas — continua exposto a esses mesmos ataques até hoje. As operações fraudulentas documentadas neste relatório vêm utilizando variações dessa técnica há vários anos, adaptando-se à medida que os mecanismos de busca vão corrigindo, aos poucos, os vetores individuais.

Como se proteger

• NUNCA conecte sua carteira a partir de um resultado de pesquisa
• Marcar como favorito sites legítimos diretamente
• Use o DDG’s !bang atalho: !g curve finance força a pesquisa no Google
• Instale a extensão de detecção de possibly phishing do [REDACTED]
• Verifique qualquer domínio em THE ENABLERS REGISTRY antes de conectar

Recomendações para a Microsoft/Bing

1. Detecção dinâmica de páginas: Classificar as páginas de resultados de busca (Yahoo, Baidu, Google) e remover a autoridade dos links externos
2. Detecção coordenada de PBN: Quando 9 domínios apontam para 5 sites diferentes com padrões idênticos, sinalize como manipulação
3. Camada de falsificação de marca: Detectar ataques de substituição de TLD (dexscreener.at ≈ [REDACTED])
4. Monitoramento de domínios .AT: Maior rigor na análise de domínios .at recém-registrados nas SERPs de criptomoedas
5. Guia rápido do DuckDuckGo: Criar uma API dedicada à remoção de spam à qual o DDG possa acessar diretamente

Uma operadora, 26 domínios, um registrador

Executamos consultas RDAP em todos os 26 domínios de possibly phishing. Todos, sem exceção, indicaram o mesmo registrador: [REDACTED]. Não a maioria. Não a maioria. Todos os 23 foram consultados com sucesso — registrador idêntico, com 3 erros de limite de taxa antes da verificação (os padrões de infraestrutura deles coincidem).

Dados de registro do RDAP — Comprovante de registro em lote

O Guia de US$ 2 — Passo a passo

Esqueça o SEO sofisticado. Esqueça meses de criação de links. Aqui está a sequência de ações completa e comprovada que garante o primeiro lugar nos resultados do Bing.

Etapa 1: Registro de Typosquats

Etapa 2: Clonar a tag de título (US$ 0, 5 minutos)

O operador copia exatamente o <title> tag e meta descrição do site do projeto real. Este é o passo mais importante de todos. A própria página é um site que esvazia carteiras ou rouba frases-semente — mas <title> é o que o Bing classifica.

Etapa 3: Enviar para a rede PBN oculta (US$ 0, 1 minuto)

O operador visita qualquer uma das 15 unidades da PBN (bye.fyi, atomizelink.icu, etc.), digita o domínio em um formulário intitulado “Insira sua URL” e clica em “Encurtar”. Um único envio cria uma página em todos os 15 sites simultaneamente — eles compartilham um único banco de dados.

Etapa 4: Aguardar (2 a 8 semanas, US$ 0)

Discriminação do custo total

Por dentro do Mecanismo de Ocultação

Recolhemos e analisamos o código-fonte HTML real da rede PBN. Todas as páginas em todos os domínios utilizam o mesmo mecanismo de cloaking.

Estrutura da página: 400 KB de HTML, mais de 3.500 links, 4 camadas

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://POSSIBLY [REDACTED]">POSSIBLY [REDACTED]</a></p>
... x 3,500 links ...

Prova: Uma rede, um banco de dados

[REDACTED] aparece em vários domínios de PBN com IDs sequenciais do mesmo banco de dados:

Os mesmos IDs em diferentes “marcas” = um único backend, um único operador. 15 domínios. O mesmo modelo HTML. O mesmo CSS (style.css). O mesmo JavaScript (work.js). As mesmas páginas com 3.500 links.

A Segunda PBN — Rede de Verificadores de Domínios

Uma rede de links separada e mais agressiva fornece backlinks dofollow para destinos selecionados. Servidor principal: [REDACTED] — uma instalação do WordPress 6.6.2 que fornece CSS, JS e modelos para 50 a 80 domínios satélites.

Por que o Bing cai nessa

A vulnerabilidade da luta pelo título

[REDACTED] tem exatamente UM backlink — uma página em cache da SERP do Yahoo. Ela ocupa a 1ª posição no Bing para a busca por “Thruster Finance”. Isso comprova que a classificação do Bing para consultas de marca com baixa concorrência se baseia principalmente em:

1. Correspondência exata da tag de título para a consulta de busca
2. O domínio está indexado (qualquer sinal — mesmo um único link “nofollow” — já é suficiente)
3. Sem sinais negativos de confiança (o domínio é novo, sem histórico)

O Google exigiria sinais de autoridade substanciais e faria uma comparação cruzada com domínios de marcas conhecidas. O Bing não faz isso.

Resultados nº 1 do Bing (verificados via SerpAPI, abril de 2026)

Lista de Proteção Atualizada (Marcas da Parte II)

Recomendações (Parte II)

À Microsoft/Bing:

1. A disputa pelo título, por si só, não constitui autoridade. Um título correspondente não deve fazer com que um novo domínio ocupe a primeira posição nos resultados de pesquisa para consultas relacionadas à marca. É necessário que haja idade do domínio, autoridade de backlinks ou sinais de verificação da marca.
2. Detectar cloaking baseado em CSS. As páginas que utilizam sobreposições com z-index para ocultar o conteúdo dos usuários, mas exibi-lo aos rastreadores, devem ser sinalizadas.
3. Detectar redes PBN coordenadas. 15 domínios que compartilham um único backend e apontam para os mesmos destinos não constituem uma estratégia orgânica de construção de links.
4. Marcar domínios registrados no IANA #3765 nos resultados de busca de criptomoedas para uma análise mais aprofundada.
5. Criar uma fila prioritária para spam no DuckDuckGo. O DDG herda todas as vulnerabilidades do Bing, mas não possui um mecanismo independente de denúncia de spam.

À [REDACTED]:

À IANA #1910:

Todos os 26 domínios utilizam o DNS e o proxy da IANA #1910. Esses domínios hospedam programas que esvaziam carteiras e coletam frases-semente por meio da infraestrutura da IANA #1910.