Ataques Financeiros Miram o Brasil: BREEZE COMET Explora Vulnerabilidades em Instituições Financeiras

O grupo BREEZE COMET intensifica a guerra cibernética contra o setor financeiro brasileiro, mirando bancos, fintechs e varejistas. A sofisticação da operação é notável, com o grupo utilizando uma combinação de táticas de acesso inicial, desde password spraying (como noticiado em 2 de setembro de 2026 sobre ataques a contas root da AWS) e engenharia social via chamadas de TI falsas, até o uso de servidores JBoss expostos e dispositivos não autorizados. Uma vez dentro, o objetivo é claro: realizar transferências fraudulentas via Pix, STR e Boleto, um modus operandi que exige acesso profundo e credenciais sensíveis.

A equipe do Mandiant destacou que o BREEZE COMET é especialmente hábil na movimentação lateral, empregando SMB e RDP. Eles buscam credenciais mTLS, chaves de API e tokens de cloud (uma vulnerabilidade similar às expostas no ataque à Anodot em 14 de abril de 2026), explorando ambientes de CI/CD. O arsenal inclui ferramentas customizadas como REALBREEZE, COBALTSPIN e KICKPLATE. O diferencial agora é o tempo de resposta: transferências fraudulentas ocorrem entre 24 e 48 horas após o comprometimento de aplicações financeiras críticas.

A evolução do BREEZE COMET (anteriormente rastreado como UNC5669) é evidente. Seus métodos de acesso inicial, que já incluíam engenharia social (como vimos em 10 de abril de 2026 em ataques a helpdesks), agora abrangem o uso de sites governamentais brasileiros comprometidos e a implantação de dispositivos de hardware em redes de varejo. Um salto qualitativo é o uso de IA generativa para acelerar o desenvolvimento de malware customizado, scripts de reconhecimento e validação de credenciais. Esta automação eleva a escala, velocidade e sofisticação das campanhas, permitindo uma coordenação de ataques multienvironmentos em um tempo muito menor.

Além disso, o grupo amadureceu seu arsenal com novos backdoors como LIGHTPAINT (Java), MILDFROST (Java) e BOATBEAM (Golang), além do KICKPLATE (Nim), garantindo redundância de acesso e persistência. Há um claro movimento de ataques oportunistas de varejo para invasões diretas na infraestrutura de pagamentos, com ataques que não apenas roubam senhas, mas redefinem MFA e roubam tokens, como discutido em 28 de maio de 2026. Este amadurecimento técnico mostra que o grupo não apenas se adaptou, mas está ditando um novo ritmo para o cenário de ameaças financeiras.

Este avanço do BREEZE COMET representa uma ameaça significativa para a estabilidade e a confiança no sistema financeiro brasileiro. A capacidade de manipular sistemas de pagamento como Pix e STR em questão de horas após o acesso inicial exige uma reavaliação urgente das defesas. A exploração de tokens de cloud e credenciais mTLS, somada à movimentação lateral em ambientes de alta sensibilidade, cria um cenário de risco elevado.

A utilização de IA generativa para desenvolver ferramentas de ataque em ritmo acelerado é um alerta para todas as instituições. Isso significa que as defesas precisam ser ágeis e preditivas, não apenas reativas. O sucesso do BREEZE COMET demonstra que a blindagem precisa ir além da superfície, focando na segurança dos sistemas internos, nas cadeias de suprimentos de software e na vigilância contínua contra táticas de engenharia social e vishing.