04 nov Operação criminosa atinge mais de 40 instituições financeiras no Brasil
Uma investigação de inteligência de ameaças divulgada pela empresa ZenoX revelou um esquema de comprometimento em cascata que afetou pelo menos 40 instituições financeiras e órgãos no Brasil. A operação, batizada de “Open Ledger” e conduzida por um grupo autodenominado “RedScanner”, utilizou agentes de inteligência artificial (IA) comercial para automatizar ataques e gerenciar infraestruturas de invasão. O relatório técnico foi compartilhado com exclusividade ao TecMundo, que agora apura mais detalhes sobre as empresas envolvidas.
O esquema veio à tona após uma falha operacional na infraestrutura central dos criminosos, que mantinha um servidor com listagem de diretórios aberta e sem proteção na internet. O material coletado pelos analistas reuniu mais de 7 mil arquivos, incluindo transcrições de sessões de IA, ferramentas de comando e dados exfiltrados.
O servidor comprometido era um nó Hetzner (empresa germânica de hospedagem de servidores e computação em nuvem) em Nuremberg, na Alemanha, e operava um serviço Python esquecido no diretório raiz sem autenticação ou criptografia TLS.
Inteligência artificial como força de trabalho ofensiva
O diferencial da operação foi o uso intensivo de agentes de inteligência artificial para conduzir o planejamento e a execução de tarefas técnicas de forma automatizada. De acordo com o documento técnico da ZenoX, o grupo manteve centenas de sessões transcritas e milhares de eventos automatizados rodando 24 horas por dia.
“O RedScanner não usa IA como auxílio pontual: um agente de código comercial opera como força de trabalho primária da organização, com contabilidade própria no orçamento, rodízio automatizado de contas, LLM alternativa self-hosted para elasticidade, automação ofensiva 24 horas por dia e memória institucional mantida pela própria IA”, aponta o relatório da ZenoX.
Para burlar restrições de segurança dos modelos de linguagem, os operadores utilizaram instruções sistemáticas para anular travas de recusa. Essa ação permitiu que a IA gerasse códigos maliciosos e gerenciasse rotinas de varredura sem intervenção humana constante.
A estrutura contava com uma divisão de papéis entre cinco membros humanos encabeçados por um administrador central, enquanto os agentes de IA realizavam o trabalho pesado de varredura, triagem de vulnerabilidades e testes de credenciais.
Impacto setorial e o lado das empresas afetadas
As ações do grupo abrangeram do roubo de dados de cartões de crédito a tentativas de manipulação de sistemas de produção em fintechs e escrituradoras de fundos. Entre os alvos documentados pelo relatório estão dezenas de organizações de grande porte, divididas em setores estratégicos.
A ZenoX destacou que, em vários casos de testes contra o setor financeiro, o grupo adotou uma postura de demonstração de capacidade controlada. Os cibercriminosos geraram registros sintéticos e mantiveram backups antes de realizar alterações para testar a resiliência dos sistemas.
Apesar da sofisticação técnica, o grupo sofreu com vulnerabilidades de armazenamento da própria segurança ao acumular segredos, chaves SSH, credenciais, skills de IA (conjuntos de instruções parametrizadas e perfis operacionais detalhados que ensinam a IA a executar etapas específicas de um ataque) e dumps (cópias brutas de grandes volumes de informações extraídas diretamente de memórias de sistemas) no diretório principal do sistema de arquivos. Essa falha permitiu o mapeamento completo de atividades, servidores e métodos de exfiltração de dados.
“O grupo tratava a própria operação como produto, mantendo versionamento de ferramentas, contabilidade formal de custos e automação contínua, mas falhas básicas de armazenamento expuseram toda a memória institucional da organização criminosa”, aponta o relatório da ZenoX.
Recomendações e orientações de segurança
As instituições afetadas ou expostas na cadeia de suprimentos foram orientadas pela empresa de segurança a adotar medidas urgentes de contenção, mitigação e remediação:
- Trocar senhas e chaves: revogar imediatamente tokens, chaves de API e credenciais de nuvem, além de atualizar as chaves principais dos domínios.
- Investigar registros (logs): analisar acessos a bancos de dados, firewalls e sistemas de mensagens para encontrar tráfego suspeito de criminosos.
- Bloquear a rede: aplicar barreiras imediatas contra os endereços e indicadores de rede dos atacantes.
- Proteger contas e acessos: remover códigos de autenticação em duas etapas (MFA/TOTP) falsos e revisar permissões de aplicativos na nuvem.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.