O Brasil está atraindo novos cibercriminosos — e seus sites governamentais estão se tornando parte de suas campanhas

Quase simultaneamente, a Check Point Research e o Google Threat Intelligence Group publicaram relatórios sobre dois grupos diferentes com motivação financeira que visam o Brasil. Seus objetivos e métodos diferem significativamente, mas compartilham uma característica comum: ambos usam sites comprometidos de organizações governamentais em seus ataques.

O primeiro é o grupo Gambling Goblin. As principais vítimas foram organizações governamentais e educacionais brasileiras. Após comprometer servidores Linux, os atacantes instalaram módulos Apache maliciosos que redirecionavam silenciosamente os visitantes para páginas sob seu controle, preservando a aparência de um domínio legítimo. Dezenas de domínios brasileiros confiáveis — principalmente .gov.br — foram usados para promover páginas disfarçadas de lojas de aplicativos e que anunciavam cassinos online e apostas.

O segundo é o grupo BREEZE COMET. O grupo está ativo desde pelo menos 2024 e tem como alvo principal serviços financeiros, varejo e comércio eletrônico. Seu objetivo é obter acesso a softwares bancários e sistemas de pagamento, incluindo Pix, STR e Boleto, para realizar transferências fraudulentas. O BREEZE COMET também usou sites comprometidos de pequenas agências governamentais brasileiras, mas desta vez para hospedar ferramentas de acesso remoto, infostealers e backdoors, além de apoiar parte de sua infraestrutura de C2. A infraestrutura governamental confiável permitiu que os atores da ameaça evitassem a detecção por filtros de reputação de domínio de rede.

Em um nível mais amplo, o Brasil continua sendo um dos principais alvos dos cibercriminosos na região. De acordo com a Recorded Future, até o final de 2025, o risco avaliado de intrusão de rede no país subiu de Médio para Muito Alto; o Brasil se tornou o país mais visado da América Latina e ficou entre os dez primeiros do mundo em número de vítimas de ransomware.

Ambas as campanhas ilustram claramente o lado negativo da rápida digitalização do Brasil. À medida que o número de serviços digitais e seu papel na economia crescem mais rápido do que o nível de proteção que recebem, os atacantes ganham mais do que apenas um conjunto maior de alvos potenciais. Uma vez comprometidos, os recursos governamentais insuficientemente protegidos tornam-se eles próprios ferramentas: domínios confiáveis podem ser usados para promover conteúdo fraudulento, distribuir malware e ocultar tráfego de C2. Como resultado, a proteção fraca de até mesmo um recurso governamental relativamente pequeno pode criar riscos muito além da própria organização.