Uma investigação do Google Threat Intelligence Group identificou centenas de transações fraudulentas em empresas brasileiras, realizadas em duas ondas entre 24 e 48 horas após invasões a aplicações financeiras. Publicado em setembro de 2026, o relatório detalha a atuação do BREEZE COMET contra organizações brasileiras dos setores financeiro, varejista e de comércio eletrônico. O grupo busca manipular softwares bancários e integrações ligadas a Pix, STR e boletos para desviar recursos.
Hesron Hori, diretor de Risk Assessment da Under Protection, explica que a prevenção começa por identificar quem pode movimentar recursos e alterar integrações financeiras. “O risco precisa ser avaliado pelo que aquele acesso permite fazer. Uma credencial com permissões excessivas pode abrir caminho para sistemas que movimentam dinheiro. Por isso, a empresa precisa conhecer as conexões entre sua operação, seus fornecedores e as aplicações financeiras”, afirma.
A investigação mostra a busca por chaves de APIs, interfaces que permitem a comunicação entre programas, e credenciais privilegiadas em ambientes de desenvolvimento e nuvem. Também descreve o uso de contas comprometidas e mecanismos para manter acessos. Nesse percurso, o Active Directory, responsável pela gestão de usuários e permissões em redes corporativas, aparece entre os ambientes visados.
Para reduzir a exposição, Hori explica que a primeira medida é revisar contas administrativas, acessos de fornecedores e permissões de funcionários que mudaram de função ou saíram da organização. Cada identidade deve ter apenas os privilégios necessários à sua atividade. Contas de uso cotidiano e de administração precisam ser separadas, com autenticação multifator nos acessos críticos.
A proteção também deve alcançar as credenciais usadas automaticamente pelos sistemas. Chaves de integração e certificados digitais precisam de armazenamento protegido, acesso restrito e substituição quando houver suspeita de exposição. Uma estação de trabalho ou equipamento de loja não deve alcançar livremente servidores financeiros. No processo de pagamento, limites por perfil, conferência de favorecidos e aprovação adicional para alterações sensíveis podem reduzir a possibilidade de uma única conta executar toda a fraude.
Sinais antes da transferência
Um SOC, centro de operações de segurança, reúne registros de diferentes sistemas para investigar atividades suspeitas. A análise deve considerar a sequência dos acontecimentos: uma autenticação incomum, seguida de tentativa de ampliar permissões e de acesso a uma aplicação sensível, merece apuração conjunta.
“Uma ferramenta de acesso remoto pode ter uso legítimo. O alerta ganha relevância quando ela surge sem autorização, associada a uma conta que passou a acessar servidores fora da sua rotina. O trabalho do monitoramento é conectar esses sinais e dar à equipe condições de investigar e conter a atividade”, explica Hori.
Entre os comportamentos descritos pelo Google estão conexões remotas indevidas, desativação de proteções e apagamento de registros. Os pesquisadores também encontraram evidências de IA generativa na produção de códigos maliciosos. A constatação indica apoio ao desenvolvimento das ferramentas, sem demonstrar que toda a operação foi conduzida autonomamente pela tecnologia.
A preparação deve incluir responsáveis e procedimentos para isolar equipamentos, suspender credenciais e acionar bancos ou prestadores de pagamento diante de suspeita de fraude. Preservar registros ajuda a investigar o alcance do incidente. Exercícios simulados permitem avaliar se os contatos estão atualizados e se as equipes conseguem decidir com rapidez, considerando também o impacto da contenção sobre a operação.
“A empresa precisa saber quem pode interromper um acesso suspeito e como essa decisão será tomada. Monitoramento, controle de privilégios e resposta a incidentes devem funcionar juntos. Quando o alvo é uma aplicação financeira, essa preparação também faz parte da proteção do caixa”, conclui Hori.
Sobre a Under Protection
Com mais de 25 anos de atuação, a Under Protection é especializada em cibersegurança e continuidade operacional. Criadora das metodologias LISA e NG LISA, combina monitoramento em tempo real, resposta imediata e análise integrada de pessoas, processos e tecnologia. Atua com planos priorizados e clareza executiva para proteger ambientes digitais com eficiência e resiliência.
A empresa também opera um centro de operações de segurança (NG SOC) que monitora ambientes 24/7, processando eventos em tempo real e executando ações automatizadas para contenção de ameaças. Com presença nacional e atuação em diversos setores, a Under Protection é reconhecida por sua abordagem estratégica e capacidade de adaptação às necessidades específicas de cada organização.
