Um grupo de cibercriminosos está realizando ataques sofisticados contra empresas brasileiras com o objetivo de comprometer sistemas financeiros e executar centenas de transações fraudulentas via Pix e outros meios de pagamento.
O grupo é rastreado pelo Google Threat Intelligence Group (GTIG) e pela Mandiant como Breeze Comet, anteriormente identificado como UNC5669. Há sobreposição com atividades acompanhadas por outras empresas de segurança sob nomes como Plump Spider e SHADOW-AETHER-064. Pesquisadores indicam que a operação está ativa pelo menos desde 2023 e tem forte foco no Brasil.
Os principais alvos incluem empresas dos setores financeiro, varejista e de comércio eletrônico, além de organizações que possuem acesso a softwares bancários, APIs e infraestrutura utilizada para realizar pagamentos.
O objetivo final é particularmente preocupante: depois de entrar na rede corporativa, os criminosos tentam chegar aos sistemas responsáveis por movimentar dinheiro.
E, quando conseguem, não fazem apenas uma transferência.
Em alguns ataques, são realizadas centenas de operações fraudulentas antes que a invasão seja identificada.
Ataque começa muito antes do Pix
Uma das características mais importantes da campanha é que o Pix aparece apenas na etapa final.
Antes de movimentar dinheiro, os invasores precisam conquistar acesso à infraestrutura da empresa.
Para isso, diferentes técnicas são utilizadas.
Uma delas é o password spraying, no qual criminosos testam senhas comuns contra diversas contas corporativas.
Em outros episódios, porém, a estratégia é muito menos técnica: os hackers simplesmente telefonam para funcionários.
Eles se passam por integrantes do suporte de TI e tentam convencer a vítima a instalar programas legítimos de acesso remoto, como o AnyDesk.
A partir desse momento, uma ferramenta criada para suporte técnico passa a funcionar como porta de entrada para os criminosos.
WhatsApp também entrou na estratégia
Um caso analisado pela empresa brasileira de cibersegurança Axur mostrou como engenharia social e ferramentas técnicas podem trabalhar juntas.
Os criminosos iniciaram uma conversa pelo WhatsApp se passando pelo suporte da empresa.
A vítima recebeu instruções para executar um script em PowerShell que supostamente faria parte de uma atualização de aplicativo corporativo.
Na realidade, o comando ajudava os invasores a realizar reconhecimento do ambiente.
Esse tipo de abordagem é perigoso justamente porque não depende inicialmente da exploração de uma vulnerabilidade extremamente sofisticada.
O criminoso precisa convencer alguém dentro da organização a executar o primeiro passo.
Depois disso, começa a expansão dentro da rede.
Servidores vulneráveis também são explorados
Engenharia social não é a única porta de entrada.
Os pesquisadores identificaram ataques contra servidores JBoss AS vulneráveis, utilizados para instalar web shells.
Uma web shell permite que o atacante mantenha uma espécie de terminal remoto dentro do servidor comprometido.
A partir daí, ferramentas adicionais podem ser instaladas para ampliar o controle da infraestrutura.
Entre elas aparecem utilitários como Chisel, proxies, ferramentas de reconhecimento de Active Directory e programas usados para movimentação lateral.
Objetivo é chegar ao coração financeiro da empresa
Depois de obter acesso inicial, começa uma das etapas mais complexas.
O Breeze Comet procura entender como a organização movimenta dinheiro.
Isso pode envolver descobrir:
- quais usuários possuem privilégios financeiros;
- como funcionam os sistemas bancários internos;
- quais servidores possuem acesso às plataformas de pagamento;
- quais APIs estão conectadas a bancos e fintechs;
- como funcionam os mecanismos antifraude;
- quais credenciais permitem autorizar operações.
Esse conhecimento é essencial porque o objetivo não é simplesmente roubar um login de internet banking.
Os criminosos procuram controlar processos financeiros corporativos inteiros.
Pix, STR e boletos aparecem entre os alvos
A infraestrutura visada permite trabalhar com diferentes meios de pagamento.
Entre eles estão Pix, Sistema de Transferência de Reservas (STR) e boletos bancários.
Isso coloca na mira organizações que talvez nem sejam bancos.
Processadores de pagamentos, fintechs, exchanges, grandes varejistas e fornecedores de software financeiro podem possuir conexões importantes com o sistema bancário.
Comprometer uma dessas organizações pode abrir caminho para operações financeiras de grande escala.
Hackers tentam alcançar a RSFN
Os ataques mais sofisticados podem avançar até a Rede do Sistema Financeiro Nacional (RSFN).
Essa infraestrutura é utilizada para comunicação entre instituições que participam do sistema financeiro brasileiro.
Para realizar determinadas operações fraudulentas, os criminosos precisam comprometer uma organização que possua acesso legítimo à rede.
Também procuram credenciais e certificados utilizados para autenticação de transações.
Entre os alvos estão credenciais mTLS, tecnologia baseada em certificados digitais utilizada para autenticar sistemas que se comunicam entre si.
Se esses mecanismos forem comprometidos, uma transação maliciosa pode parecer tecnicamente legítima para outros componentes da infraestrutura.
O invasor precisa aprender como a empresa funciona
Essa é uma diferença fundamental em relação aos golpes tradicionais.
O Breeze Comet não necessariamente invade uma empresa e imediatamente tenta transferir dinheiro.
Os criminosos podem permanecer estudando o ambiente.
Eles precisam descobrir quais aplicações processam pagamentos, quais usuários possuem autorização, quais servidores conseguem acessar determinados serviços e quais controles antifraude precisam ser contornados.
É uma operação que mistura espionagem interna com fraude financeira.
Quanto maior o conhecimento adquirido sobre a organização, maior a capacidade de reproduzir operações legítimas.
Dispositivos físicos chegaram a ser conectados às redes
Outro detalhe chama atenção.
Pesquisadores identificaram incidentes nos quais dispositivos físicos maliciosos foram conectados diretamente às redes de lojas.
Isso cria um ponto de entrada dentro do ambiente corporativo.
Depois disso, os invasores conseguem realizar reconhecimento e movimentação lateral utilizando ferramentas conhecidas no mercado de segurança ofensiva.
Netcat, Impacket, ADRecon e ADVipscan estão entre as ferramentas observadas.
O grupo também desenvolveu ferramentas próprias.
Malware COBALTSPIN cria túnel dentro da rede
Uma delas é chamada COBALTSPIN.
Desenvolvido em Rust, o malware funciona como um túnel de rede.
Ele cria um proxy SOCKS5 reverso sobre WebSocket, permitindo que os criminosos encaminhem tráfego entre sua infraestrutura externa e sistemas internos da organização comprometida.
Na prática, isso ajuda o atacante a alcançar máquinas que normalmente não poderiam ser acessadas diretamente pela internet.
É uma forma de transformar um computador comprometido em ponte para outras áreas da rede.
Esse tipo de técnica é especialmente relevante em ambientes corporativos porque sistemas financeiros importantes normalmente ficam protegidos atrás de várias camadas de segurança.
Hackers criaram diferentes backdoors
O arsenal atribuído ao grupo inclui diferentes ferramentas desenvolvidas para manter acesso e esconder comunicações.
Entre elas estão LIGHTPAINT, MILDFROST, KICKPLATE e BOATBEAM.
Cada ferramenta possui uma função.
O LIGHTPAINT, por exemplo, é baseado em Java e pode instalar e configurar a VPN SoftEther.
O MILDFROST utiliza túneis DNS para criar canais de comunicação discretos.
O KICKPLATE foi desenvolvido em Nim e tenta se passar pelo componente Windows Update Health Tools.
Já o BOATBEAM, escrito em Golang, cria um falso servidor HTTPS do IIS utilizando a porta 443.
A variedade demonstra que o grupo vem investindo no desenvolvimento de uma infraestrutura própria para manter presença dentro das organizações.
Kubernetes e cloud também entraram na mira
Os ataques também evoluíram junto com a infraestrutura empresarial.
Em 2024, o grupo dependia mais fortemente de ferramentas comerciais de Remote Monitoring and Management.
Depois, os pesquisadores observaram técnicas mais sofisticadas.
Entre elas está a implantação de pods Kubernetes maliciosos.
Os criminosos também procuram secrets armazenados em ambientes cloud.
Esses secrets podem incluir senhas, tokens, chaves de API e outras credenciais utilizadas para autenticar serviços.
Depois de roubados, esses dados podem permitir acesso a outras partes da infraestrutura.
Isso demonstra que migrar aplicações para cloud não elimina automaticamente os riscos.
Se identidades, credenciais e permissões forem comprometidas, o invasor simplesmente acompanha a empresa para a nova arquitetura.
Sites brasileiros legítimos são utilizados pelos criminosos
Outro recurso interessante da campanha é o comprometimento de sites legítimos.
Os pesquisadores encontraram páginas brasileiras, inclusive de pequenos órgãos públicos, utilizadas para hospedar ferramentas maliciosas.
Esses sites podem distribuir programas RMM, infostealers disfarçados de documentos fiscais e backdoors como o XWorm.
A vantagem para os criminosos é simples.
Um domínio brasileiro legítimo pode possuir uma reputação muito melhor do que um endereço recém-criado por hackers.
Isso pode ajudar a contornar determinados filtros de segurança.
Windows Defender também vira alvo
Quando os invasores conquistam acesso suficiente, começam a tentar reduzir a capacidade de detecção da vítima.
Foram identificados comandos PowerShell destinados a desativar o monitoramento em tempo real do Windows Defender.
É uma etapa bastante comum em ataques avançados.
Primeiro o criminoso entra.
Depois estabelece persistência.
Em seguida tenta enfraquecer ferramentas que poderiam detectá-lo.
Só então começa a executar as ações mais sensíveis.
No caso do Breeze Comet, isso significa chegar aos sistemas financeiros.
Centenas de transações podem ser realizadas
Na etapa final, contas privilegiadas comprometidas e ferramentas como o COBALTSPIN permitem acesso às aplicações financeiras centrais.
É nesse momento que ocorre a monetização da invasão.
Os pesquisadores observaram a realização de centenas de transações fraudulentas utilizando sistemas comprometidos.
Pelo menos um dos roubos analisados teria resultado em prejuízo equivalente a dezenas de milhares de dólares.
Mas o potencial financeiro pode ser significativamente maior dependendo do tipo de organização comprometida.
Depois do roubo, hackers tentam apagar os rastros
Após realizar as operações, o grupo inicia uma limpeza.
Logs de eventos são apagados.
Diretórios utilizados durante o ataque são removidos.
Evidências relacionadas às interações com APIs e sistemas financeiros também podem ser eliminadas.
O objetivo é dificultar o trabalho das equipes de resposta a incidentes.
Sem logs, torna-se mais difícil reconstruir exatamente como o invasor entrou, quais credenciais foram utilizadas e quais sistemas foram acessados.
Isso também dificulta determinar se o atacante realmente abandonou a infraestrutura.
IA pode estar ajudando os hackers
A investigação encontrou ainda sinais de que grandes modelos de linguagem podem estar sendo utilizados para auxiliar no desenvolvimento das ferramentas do grupo.
Alguns scripts apresentavam características como comentários extremamente detalhados, cabeçalhos padronizados e explicações sobre processos de decisão.
Isso não significa necessariamente que toda a operação seja automatizada por inteligência artificial.
Mas reforça uma tendência crescente na cibersegurança: ferramentas generativas podem reduzir o tempo necessário para desenvolver scripts, adaptar malware, produzir documentação e testar diferentes técnicas.
Para criminosos tecnicamente experientes, IA pode funcionar como multiplicador de produtividade.
Mudança importante no cibercrime brasileiro
Talvez o ponto mais relevante dessa campanha seja justamente a mudança de alvo.
Durante anos, grande parte das fraudes bancárias brasileiras buscava comprometer o usuário final.
Phishing, páginas falsas, aplicativos maliciosos, roubo de senhas e engenharia social tentavam convencer milhares de pessoas a entregar suas credenciais.
O Breeze Comet apresenta uma lógica diferente.
Em vez de atacar milhares de correntistas individualmente, os criminosos procuram comprometer a infraestrutura que movimenta o dinheiro.
Uma única invasão bem-sucedida pode oferecer acesso a um volume muito maior de recursos.
Pix virou infraestrutura crítica para empresas
A enorme adoção do Pix também transformou o sistema em uma peça fundamental da economia brasileira.
Empresas utilizam pagamentos instantâneos para fornecedores, clientes, marketplaces, fintechs e inúmeras operações internas.
Quanto maior essa integração, maior também a superfície de ataque.
O problema não está necessariamente no protocolo do Pix.
A vulnerabilidade pode estar nos sistemas que cercam o processo: servidores, APIs, Active Directory, endpoints, fornecedores de tecnologia, credenciais ou funcionários enganados por engenharia social.
Essa distinção é importante.
Muitos ataques envolvendo Pix não significam que o sistema central do Banco Central foi “hackeado”.
Significam que algum participante ou infraestrutura conectada ao ecossistema foi comprometido.
Brasil já enfrenta uma sequência de ataques
O problema não está restrito a essa campanha.
Nos quatro primeiros meses de 2026, o ecossistema financeiro brasileiro registrou 12 ataques cibernéticos relacionados ao Pix, segundo levantamento divulgado por representante da Comissão de Prevenção a Fraudes da Associação Brasileira de Bancos.
A média naquele período chegou a três episódios por mês.
Isso reforça uma mudança no perfil das ameaças enfrentadas por bancos, fintechs e empresas que operam grandes volumes financeiros.
Segurança precisa acompanhar toda a cadeia
A campanha do Breeze Comet mostra que proteger apenas a aplicação financeira não é suficiente.
Uma organização pode possuir um sistema de pagamentos extremamente protegido e ainda assim ser comprometida porque um funcionário instalou uma ferramenta de acesso remoto depois de receber uma ligação falsa.
Ou porque uma senha corporativa era fraca.
Ou porque um servidor JBoss estava desatualizado.
Ou porque credenciais foram armazenadas incorretamente em cloud.
O ataque moderno funciona como uma cadeia.
O criminoso procura o elo mais fraco e, a partir dele, avança progressivamente até encontrar o ativo que realmente deseja.
Nesse caso, dinheiro.
Empresas precisam tratar Pix como infraestrutura crítica
Para organizações que realizam grandes volumes de pagamentos, sistemas ligados ao Pix precisam receber o mesmo nível de proteção destinado a outros ativos críticos.
Isso envolve segmentação de rede, autenticação multifator, proteção de contas privilegiadas, monitoramento de endpoints, controle rigoroso de certificados e credenciais, detecção de movimentação lateral e acompanhamento de transações fora do padrão.
Ferramentas RMM também merecem atenção especial.
Softwares legítimos como AnyDesk podem ser extremamente úteis para equipes de suporte, mas precisam possuir políticas claras de instalação e utilização.
Um funcionário não deveria conseguir instalar ou executar ferramentas de acesso remoto simplesmente porque alguém telefonou afirmando pertencer ao departamento de TI.
O novo alvo dos hackers é a infraestrutura financeira
O Breeze Comet representa uma evolução importante do cibercrime brasileiro.
O objetivo deixa de ser exclusivamente convencer uma pessoa a realizar um Pix para o criminoso.
Agora, grupos especializados tentam assumir o controle dos próprios sistemas que autorizam e processam pagamentos.
Se conseguem chegar até esse ponto, podem automatizar operações e executar dezenas ou centenas de transações antes que a fraude seja interrompida.
Para o Google, esse movimento representa uma transformação relevante no cenário latino-americano: ataques antes concentrados em fraudes bancárias contra usuários finais começam a migrar para a infraestrutura central das organizações responsáveis por pagamentos.
E o problema pode ultrapassar o Brasil.
Atividades relacionadas também foram observadas em países como Paraguai, Nigéria, Gana e Venezuela, enquanto pesquisadores acompanham a possibilidade de expansão das operações para outras regiões.
A mensagem para empresas brasileiras é clara: proteger o Pix não significa apenas proteger uma conta bancária. Significa proteger toda a cadeia tecnológica capaz de chegar até ela.
