Grupo usa IA para atacar 40 bancos no Brasil e roubar dados

Segurança Digital

Relatório revela uso de IA para automatizar ataques cibernéticos contra bancos brasileiros.

Leia também: Sam Altman muda nome para “Ram Altman” no X após polêmica da RAM

Um grupo criminoso batizado de RedScanner usou agentes de inteligência artificial comercial para automatizar ataques cibernéticos contra pelo menos 40 instituições financeiras e órgãos no Brasil, em uma operação que combinou roubo de dados, manipulação de sistemas e testes de resiliência em larga escala, segundo relatório técnico da empresa de segurança ZenoX divulgado nesta semana.

IA faz o “trabalho pesado” dos ataques

A operação, apelidada pelos analistas de “Open Ledger”, foi estruturada para que a maior parte do trabalho fosse feita por sistemas de IA, enquanto cinco membros humanos, liderados por um administrador central, coordenavam alvos, etapas e ferramentas. Os agentes automatizados ficavam responsáveis por varredura de redes, triagem de vulnerabilidades e testes de credenciais, acelerando invasões e dificultando a detecção pelos times de segurança das empresas atacadas.

Para contornar travas de segurança de modelos de linguagem comerciais, os operadores alimentavam as ferramentas com instruções sistemáticas que anulavam recusas automáticas, permitindo gerar códigos maliciosos, scripts de exploração e rotinas de varredura contínua sem intervenção humana constante. As ações documentadas vão desde o roubo de dados de cartões de crédito até tentativas de manipular sistemas de produção em fintechs e escrituradoras de fundos.

Em vários episódios descritos no relatório, o RedScanner adotou uma postura de “demonstração controlada” em parte dos alvos: gerava registros sintéticos, mantinha backups antes de alterações e monitorava o comportamento dos sistemas atacados para medir a resiliência e o tempo de resposta das equipes técnicas.

Servidor exposto na Alemanha derruba sigilo do grupo

O esquema veio à tona depois de uma falha básica de segurança dos próprios criminosos. A infraestrutura central do grupo rodava em um servidor de hospedagem na cidade de Nuremberg, na Alemanha, com listagem de diretórios aberta e sem qualquer proteção exposto diretamente na internet. Um serviço em Python, deixado sem autenticação e sem criptografia, permitia acesso direto ao sistema de arquivos.

A partir desse ponto, analistas da ZenoX conseguiram coletar mais de 7 mil arquivos ligados à operação criminosa. O pacote incluía transcrições de sessões de IA usadas nos ataques, ferramentas de comando, scripts, dados exfiltrados de vítimas, além de segredos sensíveis como chaves SSH, credenciais de acesso e conjuntos de instruções preparados para treinar os agentes automatizados em cada etapa do ataque.

Segundo o relatório, o grupo acumulava também dumps — cópias brutas de grandes volumes de informações extraídas de sistemas comprometidos — no diretório principal, o que permitiu reconstituir métodos de exfiltração, rotas de acesso e a lista de organizações atacadas. “O grupo tratava a própria operação como produto, mantendo versionamento de ferramentas, contabilidade formal de custos e automação contínua, mas falhas básicas de armazenamento expuseram toda a memória institucional da organização criminosa”, descreve o documento elaborado pela ZenoX.

Entenda o contexto

O RedScanner é apresentado pela ZenoX como uma célula compacta, com cinco integrantes humanos distribuindo papéis de administração, desenvolvimento de ferramentas, operação diária de ataques e gestão de infraestrutura. Em vez de ampliar o time, os criminosos optaram por escalar a capacidade ofensiva com IA, transformando modelos comerciais em agentes capazes de executar rotinas complexas de forma autônoma, com supervisão mínima.

No setor financeiro, os alvos identificados no relatório incluem fintechs, bancos e escrituradoras de fundos, com foco em sistemas críticos, bases de dados sensíveis e interfaces de produção que fazem a ponte com o mercado. A automação permitiu ao grupo testar grandes volumes de credenciais, explorar brechas conhecidas e monitorar respostas das defesas em ciclos curtos, abrindo espaço para ataques em cascata: a partir de um fornecedor menor, era possível saltar para instituições maiores ligadas por integrações técnicas.

Apesar disso, a operação não se limitou a roubo imediato. Em vários casos, o grupo pareceu interessado em medir capacidade técnica, armazenar inteligência sobre falhas e construir um “catálogo” de acessos para uso futuro ou venda no submundo digital, segundo a interpretação dos analistas.

Impacto e reação do setor financeiro

O caso acende um alerta inédito para o sistema financeiro brasileiro: pela primeira vez, uma investigação pública detalha o uso massivo de IA comercial como motor de uma campanha coordenada contra dezenas de organizações de grande porte. A escala automatizada aumenta a pressão sobre equipes de segurança, que passam a lidar com ataques mais rápidos, distribuídos e adaptáveis.

Com a divulgação do relatório, instituições financeiras afetadas e outras potenciais vítimas iniciam processos de revisão de políticas de segurança, com foco em monitoramento de comportamento anômalo de usuários e sistemas, reforço de autenticação, proteção de integrações com terceiros e testes específicos contra ferramentas de automação baseadas em IA. Especialistas ouvidos pela ZenoX defendem que empresas tratem o risco de agentes automatizados como uma nova categoria nas matrizes de ameaças internas.

Órgãos reguladores do sistema financeiro e de proteção de dados tendem a intensificar a fiscalização e discutir novas diretrizes para resposta a incidentes envolvendo IA, inclusive exigindo transparência maior sobre ataques e mecanismos de detecção. A cooperação internacional também deve ganhar importância, já que a infraestrutura do grupo operava fora do país.

Próximos passos e investigações

A partir do material coletado no servidor na Alemanha, a expectativa é que autoridades de segurança brasileiras e estrangeiras aprofundem investigações para chegar à identificação dos cinco membros humanos ligados ao RedScanner. Os arquivos reunidos trazem não apenas ferramentas e dados de vítimas, mas também pistas de rotinas, fusos horários de operação, hábitos de desenvolvimento e possíveis conexões com outros grupos.

Para o setor financeiro, o episódio funciona como um teste de estresse em tempo real: aponta fragilidades em cadeias de fornecedores, integrações técnicas e monitoramento de uso indevido de IA. A tendência, avaliam especialistas citados no relatório, é que esquemas semelhantes se tornem mais frequentes, pressionando empresas a investir em detecção automatizada, treinamento de equipes e políticas claras para uso ético e seguro de modelos de linguagem dentro das próprias organizações.