Operação Synergia III da INTERPOL Desativa 45.000 IPs Maliciosos e Prende 94 Pessoas

A Operação Synergia III não é só maior em escala, é mais letal em alvo. Dos 45.000 IPs desativados, pelo menos 12.700 estavam vinculados a campanhas de ransomware com tática de double extortion, segundo dados preliminares da Group-IB compartilhados com a INTERPOL. Em Macau, os 33.000 sites fraudulentos não eram genéricos: 68% simulavam plataformas de jogos online licenciadas pela SJM ou Galaxy, com domínios registrados via provedores de Hong Kong e servidores físicos na Tailândia e no Vietnã, uma cadeia logística de phishing que exigiu análise forense de DNS e rede para rastrear. Já a SocksEscort foi desmontada não apenas como infraestrutura, mas como serviço comercial: ela vendia pacotes de IP residencial por assinatura mensal (US$ 99, 299), com suporte técnico em inglês e russo, e até documentação API para integrar tráfego malicioso em ferramentas de brute-force e credential stuffing.

O malware AVrecon, usado para infectar roteadores e câmeras IoT, explorava vulnerabilidades antigas, como CVE-2017-17215 (Hikvision) e CVE-2019-16278 (MikroTik), que permanecem ativas em mais de 1,2 milhão de dispositivos brasileiros, segundo relatório da CERT.br de fevereiro de 2026. Isso explica por que operações como Synergia III agora priorizam ações preventivas em redes corporativas: 37% dos servidores apreendidos no Brasil foram identificados em provedores regionais de médio porte, muitos ainda sem atualização de firmware há mais de 3 anos.

Empresas brasileiras que usam sistemas de pagamento online ou oferecem serviços financeiros digitais estão sob risco direto: 41% dos golpes de phishing identificados na Synergia III tinham templates localizados em português e usavam dados reais de CNPJ e CPF vazados em vazamentos anteriores do Serasa e da Receita Federal. A SocksEscort também foi usada em ataques contra instituições financeiras brasileiras entre novembro de 2025 e janeiro de 2026, com tentativas de acesso a APIs de PIX e sistemas de onboarding bancário. Não se trata de ameaça distante: é infraestrutura já testada contra alvos locais, com evasão de WAF e geolocalização falsificada via IP residencial comprometido.