BREEZE COMET ja usa IA em ataques a Pix e STR de fintechs no Brasil

Quem é o BREEZE COMET

O BREEZE COMET, anteriormente monitorado como UNC5669 pela Mandiant/Google Threat Intelligence, aparece em relatórios recentes como um grupo dedicado a comprometer instituições financeiras, varejistas e fintechs brasileiras. O objetivo vai além do roubo de dados. A campanha busca manipular softwares bancários, APIs e ambientes ligados ao Pix e ao STR para executar transferências fraudulentas em nome das próprias vítimas.

O assunto deve continuar quente nos próximos 10 a 15 dias. Os relatos mais recentes, do início de setembro, descrevem campanhas em andamento e citam o uso de infraestrutura de prefeituras como ponto de apoio. Some a isso o momento em que instituições reforçam defesas após prazo regulatório e o cenário fica ainda mais sensível para quem opera pagamentos.

Do currículo falso ao acesso remoto

A isca preferida do grupo é um currículo. Um e-mail chega com anexo ou link, alguém do RH abre acreditando estar avaliando um candidato e a máquina recebe um programa de acesso remoto, os chamados RATs. A partir daí o invasor circula pela rede, mapeia integrações e procura credenciais transacionais, que são o verdadeiro prêmio da operação.

A IA generativa entra como acelerador dessa cadeia. Modelos de linguagem como o Claude e o GPT ajudam a escrever scripts de reconhecimento, testar credenciais em lote e organizar a retirada de informações. O efeito prático é o encurtamento do tempo entre a invasão inicial e a fraude consumada, uma janela que times de resposta costumavam medir em dias e agora precisam medir em horas.

Sinais de alerta

Equipes de segurança, tecnologia e operações financeiras devem observar mudanças incomuns no ambiente, com atenção redobrada quando envolvem Pix, STR e APIs bancárias. A maioria desses indícios é discreta e passa batido em painéis genéricos.

• Recebimento incomum de currículos com links ou anexos por áreas que não conduzem seleção.
• Acessos fora do padrão a ambientes de pagamento, APIs ou sistemas transacionais.
• Uso de credenciais transacionais em horários ou origens incomuns.
• Máquinas internas tentando se comunicar com endereços sem relação com a operação.
• Transferências ou tentativas de alteração em fluxos Pix/STR sem justificativa operacional.

O que fazer agora

A resposta precisa combinar prevenção, monitoramento e contenção. Comece tratando credenciais transacionais como ativo crítico: revise quem tem acesso, corte permissões herdadas de funções antigas e exija autenticação forte em qualquer ponto que permita movimentação financeira. Esse único passo elimina boa parte do caminho fácil do atacante.

O segundo movimento é segmentar. Ambientes de pagamento não deveriam conviver na mesma rede do escritório, e mensagens com currículos merecem validação adicional antes de chegar ao usuário final. Instituições do porte de Itau e Nubank operam com essa separação por padrão, mas fintechs em crescimento acelerado costumam deixar a lacuna aberta enquanto priorizam produto.

• Reforce filtros contra phishing de currículos.
• Monitore Pix, STR e APIs com alertas para comportamento fora do padrão.
• Revise integrações bancárias e chaves de API.
• Prepare um plano de isolamento rápido para sistemas de pagamento.

Checklist prático

1. Mapeie todos os acessos a Pix, STR, APIs bancárias e credenciais transacionais.
2. Crie alertas para login incomum, tentativa de validação em massa e transferência fora do padrão.
3. Oriente RH, financeiro e atendimento sobre phishing com currículos, links e anexos.

Perguntas frequentes

O BREEZE COMET ataca apenas bancos?

Não. Instituições financeiras, varejistas e fintechs brasileiras aparecem como alvos, principalmente quando mantêm integração com pagamentos, Pix, STR ou APIs bancárias. Quanto mais próxima a empresa estiver do fluxo transacional, maior a atratividade.

O uso de IA torna o ataque automático?

Não necessariamente. A IA generativa funciona como acelerador de tarefas como criação de scripts, reconhecimento de sistemas, validação de credenciais e organização de dados. O risco real está na redução do tempo entre a invasão e a fraude.

Qual área deve agir primeiro?

Segurança da informação, tecnologia, prevenção a fraudes, operações financeiras e RH precisam atuar juntos. A campanha mistura phishing, acesso remoto, credenciais e sistemas de pagamento, então uma resposta isolada deixa flancos abertos.

Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io

Fontes:
Pauta fornecida: Valor Econômico (01/09/2026), Dark Reading, Cyberpress, Unit 42/Google GTIG.