Um ator de ameaça cibernética identificado como BREEZE COMET tem realizado ataques contra organizações brasileiras dos setores financeiro, varejista e de comércio eletrônico para manipular sistemas de pagamento e softwares bancários e realizar transferências fraudulentas.
O agente foi estudado pela Mandiant, braço de inteligência de ameaças do Google, e pelo Google Threat Intelligence Group (GTIG).
A atividade do BREEZE COMET é monitorada pelo Google desde 2024.
O “ator de ameaças com motivação financeira” tem como alvo organizações autorizadas a realizar transações por meio de softwares bancários, Interface de Programação de Aplicações (APIs) e sistemas de pagamento, incluindo Pix, Sistema de Transferência de Reservas (STR) e boleto.
Entre os potenciais alvos estão bancos, processadores de pagamentos, varejistas, corretoras, fintechs e fornecedores de software bancário.
Para executar as fraudes, o grupo busca obter acesso à Rede Nacional do Sistema Financeiro (RSFN) e a credenciais capazes de enviar ordens transacionais.
Eles invadem contas privilegiadas em ambientes corporativos e de nuvem e coletam informações sobre os processos de transferência e os sistemas antifraude das vítimas.
“Para atender a esses requisitos, BREEZE COMET evoluiu de forma a operar em múltiplos ambientes comprometidos simultaneamente, criando malware personalizado de comando e controle (C2) para automatizar atividades como reconhecimento, movimentação lateral, persistência e exfiltração”, diz o estudo.
Ataques começam com engenharia social
O Google identificou diferentes formas de entrada nas redes das empresas.
Entre elas estão ataques de força bruta por senha (“password spraying”) e chamadas telefônicas nas quais os criminosos se passam por equipes de suporte de tecnologia para convencer funcionários a instalar ferramentas de acesso e gerenciamento remoto.
Em meados de 2025, segundo o relatório, o grupo passou a comprometer sites de pequenas prefeituras brasileiras para hospedar ferramentas de acesso remoto, programas destinados ao roubo de informações e malwares que exploram “backdoors”, ou seja, contornam as regras normais de segurança para acessar um sistema.
Os sites municipais comprometidos depois foram utilizados para operações de engenharia social e como infraestrutura de comando e controle.
O Google observou comportamento semelhante em domínios municipais da Nigéria, Paraguai, Gana e Venezuela, o que, segundo o relatório, pode indicar uma expansão geográfica da atividade.
O grupo também adotou métodos de acesso físico.
Em 2025, o Google observou pela primeira vez o uso de dispositivos de hardware não autorizados conectados diretamente às redes de lojas de varejo.
“A partir desse acesso inicial à rede, o BREEZE COMET moveu-se lateralmente para sistemas internos e, em seguida, baixou ferramentas como netcat juntamente com scripts personalizados para baixar estruturas subsequentes de pós-exploração de diretórios externos expostos.”
Depois de entrar nas redes, o BREEZE COMET utiliza ferramentas de reconhecimento e malwares próprios para identificar credenciais e acessar sistemas financeiros.
O grupo procura credenciais e certificados administrativos necessários para autenticação em sistemas bancários centrais.
A etapa financeira pode ocorrer rapidamente.
De acordo com as evidências forenses analisadas pelo Google, depois de obter acesso a aplicações financeiras, o BREEZE COMET costuma iniciar, entre 24 e 48 horas, ondas de múltiplas transações fraudulentas.
O grupo também apaga registros de eventos e diretórios criados durante a invasão para dificultar a investigação.
O Google afirma ter identificado que, desde 2024, o grupo aumentou a complexidade de suas operações e conseguiu realizar “pelo menos um roubo de dezenas de milhões de dólares em ativos”, embora não tenha especificado de qual caso se trata.
Uso de IA nos ataques
O relatório também aponta uso de inteligência artificial generativa (GenAI) pelo grupo.
O Google encontrou evidências de utilização de grandes modelos de linguagem (LLMs) para acelerar a criação de scripts usados em reconhecimento de redes, validação de credenciais, implantação de ferramentas, direcionamento das ações para vítimas específicas e extração de dados.
A análise dos códigos recuperados mostrou ferramentas personalizadas e funcionais, mas com características que, segundo o estudo, sugerem o uso de IA, como estruturas lineares, comentários explicativos extensos e cabeçalhos de execução padronizados.
“À medida que os atores de ameaça utilizam cada vez mais as LLMs para otimizar as operações rotineiras, os defensores devem antecipar tempos de resposta mais curtos por parte dos adversários e uma maior pressão sobre os ecossistemas financeiros interconectados”, sugere o estudo.
O estudo mostra que o BREEZE COMET também atua para neutralizar mecanismos de defesa.
Segundo análise do Google, os criminosos executam comandos para desativar o monitoramento em tempo real do Windows Defender em máquinas comprometidas.
“Enquanto o ecossistema do cibercrime latino-americano foi historicamente caracterizado por fraudes de varejo em larga escala no lado do cliente, as campanhas do BREEZE COMET representam uma mudança notável que pode servir de modelo para futuras ameaças com motivação financeira contra organizações nesta região”, diz o estudo.
“Essa transição de fraudes bancárias oportunistas no varejo para intrusões diretas na infraestrutura central de comutação financeira e pagamentos instantâneos é notável não apenas pela mudança no alvo, mas também pelas capacidades do ator da ameaça.”
Para aumentar a segurança, o relatório recomenda, entre outras medidas, autenticação multifator resistente a “phishing”, controle de ferramentas de gerenciamento remoto, segmentação de redes, reforço de controles de acesso limitando os acessos privilegiados e monitoramento.