Em setembro de 2026, a inteligência de ameaças do Google (Google Threat Intelligence, a área de pesquisa de ataques cibernéticos da empresa) publicou a análise de um grupo criminoso que já vinha tirando o sono de quem cuida de segurança no sistema financeiro brasileiro: o Breeze Comet. O nome é novo para o grande público, mas o método não deixa dúvida sobre o tamanho do problema. Trata-se de um grupo com um objetivo único e frio, ganhar dinheiro, que aprendeu a invadir empresas brasileiras, chegar até os sistemas que movimentam pagamentos e disparar centenas de transações fraudulentas antes que alguém perceba.

E há um detalhe que muda o jogo: parte do trabalho sujo passou a ser acelerada por inteligência artificial.

Este texto explica, em português claro, o que aconteceu, como esse tipo de ataque funciona por dentro, por que ele não é um caso isolado e, principalmente, o que ele cobra de qualquer empresa que hoje depende de tecnologia para operar. Vamos traduzir cada termo técnico ao longo do caminho, porque entender o mecanismo é o primeiro passo para não ser a próxima vítima.

Em resumo, para quem tem pressa

  • O grupo Breeze Comet (antes rastreado como UNC5669) ataca instituições financeiras, fintechs, processadoras de pagamento, varejo e provedores de software bancário no Brasil desde 2024.
  • O alvo final são os sistemas que movem dinheiro: Pix, STR e Boleto.
  • A porta de entrada quase sempre é humana: alguém é enganado por um falso suporte de TI e instala um programa de acesso remoto. A partir daí, o grupo se espalha pela rede, instala programas de controle escondidos e espera o momento certo.
  • Quando chega aos sistemas de pagamento, dispara centenas de transações fraudulentas em 24 a 48 horas e, em seguida, apaga os próprios rastros: deleta registros e limpa evidências.
  • O grupo usa IA generativa (a mesma tecnologia dos assistentes de texto) para escrever seus programas de ataque mais rápido, o que reduz o nível de habilidade necessário para operar em alto nível.
  • Não é um caso único. Em julho de 2025, o ataque à C&M Software desviou centenas de milhões de reais do coração do Pix, e começou com um funcionário vendendo a própria senha.
  • A lição não é comprar mais um antivírus. É que maturidade em Segurança da Informação, desenvolvimento seguro e continuidade de negócios, com evidência que resista, é o que separa um incidente de uma catástrofe.

O que aconteceu: quem é o Breeze Comet

O Breeze Comet é o que os especialistas chamam de ator de ameaça financeiramente motivado (financially motivated threat actor). Traduzindo: um grupo organizado de criminosos cujo único objetivo é lucro, sem bandeira política ou ideológica. Ele foi identificado atuando principalmente no Brasil e já começou a replicar sua estrutura em países como Nigéria, Paraguai, Gana e Venezuela.

Os alvos preferidos são organizações que têm permissão para enviar transações dentro do sistema financeiro: bancos menores, fintechs (empresas de tecnologia financeira), processadoras de pagamento, exchanges (corretoras de criptomoedas), varejistas e, de forma muito estratégica, os provedores de software bancário, ou seja, as empresas que fornecem os sistemas usados por outras para se conectar ao mercado financeiro. Atacar um fornecedor desses é como conseguir a chave-mestra de um prédio inteiro em vez de arrombar cada apartamento.

Os sistemas visados são os que qualquer brasileiro conhece de nome:

  • Pix: o sistema de pagamentos instantâneos do Banco Central, que transfere dinheiro em segundos, a qualquer hora.
  • STR (Sistema de Transferências de Reservas): a espinha dorsal do sistema financeiro, por onde os bancos acertam contas entre si e com o Banco Central. É o encanamento por onde passam as grandes quantias.
  • Boleto: o velho conhecido documento de cobrança bancária.

Para conseguir mexer nesse dinheiro, o grupo precisa de algo específico: acesso à RSFN (Rede do Sistema Financeiro Nacional), a rede privada e fechada que liga as instituições ao Banco Central, através de uma entidade autorizada. É por isso que ele não ataca você, o correntista. Ele ataca a empresa que tem a permissão, e usa a permissão dela.

A anatomia de um golpe financeiro moderno

a control room with a desk and two chairs
Infraestrutura, acessos e integrações: o terreno por onde o ataque se move.

O que torna o Breeze Comet perigoso não é um truque único de gênio, e sim a paciência e o encadeamento de várias etapas. Vale a pena percorrer a cadeia inteira, porque cada elo revela onde uma empresa madura teria conseguido barrar o ataque.

Etapa 1: a porta de entrada é uma pessoa, não uma máquina

Na maioria dos casos, o ataque não começa com um código sofisticado, e sim com uma ligação. O criminoso se passa por suporte técnico ("olá, sou da TI, detectamos um problema no seu computador") e convence um funcionário a instalar uma ferramenta de RMM (Remote Monitoring and Management), um software legítimo de acesso e controle remoto, como o AnyDesk, normalmente usado por equipes de TI para dar suporte à distância. A vítima acha que está sendo ajudada. Na prática, acabou de entregar o controle da própria máquina.

Essa técnica de enganar pessoas para obter acesso se chama engenharia social, e quando é feita por telefone ou voz, recebe o nome de vishing (a junção de "voice", voz, com "phishing", pescaria de vítimas).

O grupo também usa variações criativas da mesma ideia. Ele invadiu sites de prefeituras brasileiras (endereços terminados em .gov.br) e os usou para hospedar arquivos maliciosos disfarçados de documentos fiscais, com nomes como "ComprovantePDF.exe". Como o endereço parece oficial, a vítima confia e executa. Em alguns casos, os criminosos chegaram a conectar fisicamente um equipamento próprio na rede de lojas de varejo, um lembrete de que segurança também é física.

Uma técnica complementar de entrada é o password spraying ("borrifar senhas"): em vez de tentar mil senhas em uma conta (o que dispara alarmes), o atacante testa uma ou duas senhas muito comuns em milhares de contas ao mesmo tempo, procurando a porta que ficou destrancada.

Etapa 2: escalar privilégios e caçar credenciais

Uma vez dentro, o grupo faz reconhecimento: mapeia a rede, descobre quem é quem e onde estão as joias. Ele usa ferramentas conhecidas do meio (como Impacket e ADRecon) e até um programa próprio, batizado de REALBREEZE, para quebrar senhas do diretório corporativo.

O que ele procura é revelador. Não são apenas senhas comuns, e sim:

  • Credenciais mTLS e certificados administrativos: o mTLS (mutual TLS, ou autenticação mútua) é um mecanismo em que dois sistemas provam a identidade um ao outro por meio de certificados digitais, como dois diplomatas conferindo as credenciais antes de negociar. É o crachá que autoriza uma máquina a falar com os sistemas do Banco Central.
  • Tokens de acesso à nuvem e chaves de API guardadas em CI/CD. Aqui entra um conceito central: API (Application Programming Interface) é o "balcão de atendimento" por onde um sistema conversa com outro; a chave de API é a senha desse balcão. E CI/CD (Integração e Entrega Contínuas) é a esteira automatizada que as empresas de tecnologia usam para construir e publicar seus programas. Quando uma senha dessas fica esquecida dentro do código ou da esteira, é como deixar a chave do cofre colada embaixo do teclado.

Esse foco em segredos de desenvolvimento é a razão pela qual segurança não é só assunto da equipe de TI, é assunto de quem escreve software. Voltaremos a isso.

Etapa 3: movimentação lateral e presença permanente

Com acesso e credenciais, o grupo começa a movimentação lateral: pular de um computador para outro dentro da empresa, se aproximando dos sistemas que importam. Ele abusa de protocolos legítimos de rede (como o RDP, usado para controlar uma máquina remotamente, e o SMB, usado para compartilhar arquivos) para não levantar suspeita.

Para não perder o acesso conquistado, o Breeze Comet instala um verdadeiro arsenal de backdoors ("portas dos fundos"), programas escondidos que mantêm uma entrada secreta mesmo que a senha original seja trocada. O grupo desenvolveu vários, escritos em diferentes linguagens de programação justamente para dificultar a detecção. Alguns deles:

  • Um que instala uma VPN legítima (uma rede privada que cria um túnel de comunicação) e depois apaga os registros dessa conexão para não deixar rastro.
  • Um que se disfarça de "Ferramentas de Saúde do Windows Update", parecendo parte do próprio sistema operacional.
  • Um que sobe um servidor de internet falso e só responde a comandos quando recebe um "aperto de mão" secreto.

Também usam túneis para escoar o tráfego de forma disfarçada. Um túnel, em segurança, é uma comunicação escondida dentro de outra que parece normal, como passar um bilhete dentro de uma carta comum. Técnicas como SOCKS5 (um tipo de proxy, um intermediário que repassa a conexão) e DNS tunneling (esconder dados dentro das consultas de nome de site, aquelas que traduzem "govsimplix.com" para um número) permitem que o grupo contorne firewalls internos e converse com seus servidores de comando sem ser notado.

Etapa 4: a fraude, em ondas, e a limpeza dos rastros

Aqui o ataque atinge o clímax. Assim que consegue chegar às aplicações financeiras principais, o grupo age rápido: em uma janela de 24 a 48 horas, dispara duas ondas com centenas de transações fraudulentas, aproveitando o acesso legítimo que roubou para mover o dinheiro por dentro dos trilhos oficiais do Pix e do STR.

E então vem o detalhe que mais deveria assustar qualquer diretoria: o grupo apaga a própria história. Ele limpa os registros de eventos (os logs, o diário de bordo que todo sistema mantém sobre o que aconteceu), deleta as pastas que criou durante a invasão, remove as marcas da movimentação lateral e chega a desligar o antivírus com um único comando. É a fase anti-forense: destruir a evidência para que ninguém consiga reconstruir o que houve, nem para responder ao regulador, nem para acionar o seguro, nem para se defender.

Guarde essa imagem, porque ela é a chave de todo o resto deste texto: o ataque moderno não rouba só o dinheiro, ele rouba a sua capacidade de provar o que aconteceu.

Não é um caso isolado: a lição da C&M Software

Se o Breeze Comet parecesse um evento distante, bastaria lembrar de julho de 2025. Naquele mês, o Brasil viveu o maior ataque cibernético envolvendo o Pix desde a sua criação. O alvo foi a C&M Software, uma empresa que conecta instituições financeiras e fintechs ao Banco Central.

O ataque não começou com um malware brilhante. Começou com um funcionário que vendeu as próprias credenciais por cerca de R$ 15 mil. Com esse acesso legítimo, os criminosos atingiram as contas de reserva que as instituições mantêm no Banco Central para liquidar operações entre si. As estimativas de prejuízo variaram de R$ 400 milhões a mais de R$ 1 bilhão, atingindo instituições como BMP, Banco Paulista, Credsystem e Banco Carrefour.

Repare no fio comum entre os dois casos:

  • O elo mais fraco foi humano, não tecnológico. Uma pessoa enganada ou aliciada.
  • O que deu poder ao atacante foi uma credencial legítima, não uma falha exótica.
  • O dano se espalhou por meio de fornecedores e integrações, não só pelo alvo direto.

Ou seja: as duas maiores histórias recentes de fraude financeira no Brasil não foram vencidas por "hackers geniais furando muralhas". Foram vencidas por processos frágeis, acessos mal governados e ausência de controles que deveriam existir e ser mantidos vivos.

O novo fator: inteligência artificial nas mãos de quem ataca

Há uma camada nova, e é ela que torna 2026 diferente de 2020. Os atacantes passaram a usar inteligência artificial generativa, a mesma família de tecnologia por trás dos assistentes de texto, para acelerar o próprio trabalho.

No caso do Breeze Comet, os pesquisadores identificaram sinais claros de que parte dos programas de ataque foi escrita com apoio de IA: o código tinha características típicas de geração automática, muito organizado, com comentários explicativos exagerados e uma estrutura repetitiva que humanos raramente produzem. A IA foi usada para acelerar a criação de scripts, o reconhecimento de rede, a validação de credenciais e a adaptação do ataque a cada vítima.

Esse movimento não é isolado, e as próprias empresas de IA vêm documentando o abuso:

  • A Anthropic, criadora do assistente Claude, relatou em 2025 um caso que apelidou de "vibe hacking": um criminoso com pouca habilidade técnica usou um agente de IA para, sozinho, varrer milhares de pontos de acesso remoto, invadir redes corporativas, roubar credenciais, criar programas maliciosos capazes de escapar da detecção e até redigir os bilhetes de resgate. Em um único mês, atingiu 17 organizações, com pedidos de resgate de até US$ 500 mil.
  • A mesma empresa documentou a venda de ransomware gerado por IA (o ransomware é o programa que sequestra e criptografa os dados de uma empresa e exige resgate) por valores entre US$ 400 e US$ 1.200, criado por alguém que, segundo o relatório, não tinha conhecimento técnico próprio e dependia inteiramente da IA.
  • Em novembro de 2025, a Anthropic também descreveu o que chamou de primeira campanha de espionagem cibernética orquestrada por IA, na qual um grupo patrocinado por Estado manipulou uma ferramenta de IA para tentar se infiltrar em cerca de trinta alvos globais.

A conclusão é desconfortável, mas precisa ser dita com clareza: a IA derrubou a barreira de entrada do crime cibernético. Antes, montar um ataque sofisticado exigia anos de experiência. Hoje, um criminoso mediano, com acesso às ferramentas certas, consegue produzir em horas o que antes levava semanas. A assimetria aumentou: o atacante ficou mais rápido, mais barato e mais numeroso.

Isso não significa que a defesa perdeu. Significa que a defesa também precisa amadurecer mais rápido, e de forma organizada, não improvisada.

wooden coffee table surrounded by leather sofa chairs
Maturidade em governança é decisão de diretoria, não apenas de TI.

O que isso cobra da sua empresa: maturidade em três frentes

Aqui chegamos ao ponto que interessa a quem toca um negócio. Ler sobre Breeze Comet e C&M pode dar a sensação de que é assunto de banco grande. Não é. Toda empresa que depende de sistemas, guarda dados e movimenta dinheiro está na mesma cadeia, muitas vezes como o fornecedor que vira porta de entrada para um alvo maior. A boa notícia é que quase todos os elos que descrevemos acima seriam interrompidos por controles de governança que já existem, desde que sejam estruturados, mantidos vivos e capazes de gerar prova. Eles se organizam em três frentes.

Frente 1: Segurança da Informação

Segurança da Informação é a disciplina de proteger os dados e sistemas da organização quanto à sua confidencialidade, integridade e disponibilidade. Não é "ter antivírus", é um conjunto vivo de práticas. Contra ataques como o do Breeze Comet, os controles que fazem diferença são concretos:

  • Inventário de ativos: saber exatamente quais equipamentos, sistemas e acessos existem. Você não protege o que não sabe que tem, e foi por um equipamento não mapeado que os criminosos entraram no varejo.
  • Gestão de acessos e PAM: o PAM (Privileged Access Management) é a gestão de acessos privilegiados, ou seja, o controle rígido de quem tem as "chaves de administrador". Somado ao princípio do menor privilégio (cada pessoa tem só o acesso de que precisa), ele encurta o caminho do atacante.
  • MFA resistente a phishing: o MFA (autenticação de múltiplos fatores) é aquela confirmação em duas etapas. Mas nem todo MFA é igual; o "resistente a phishing" usa métodos, como chaves físicas de segurança, que não podem ser roubados por um site falso. Contra engenharia social, isso é decisivo.
  • Detecção e resposta: ter registros de eventos protegidos e monitorados, e um processo de resposta a incidentes que não seja improvisado na hora do desespero.
  • A referência: tudo isso é organizado pela norma internacional ISO/IEC 27001, o padrão mundial de gestão de segurança da informação. Cada vez mais, grandes clientes exigem essa certificação como condição para fechar contrato.

Frente 2: Desenvolvimento seguro de software (DevSec)

Lembra que o Breeze Comet caçava chaves de API dentro das esteiras de desenvolvimento? Esse é o território do DevSec, ou DevSecOps, a prática de incorporar segurança dentro do processo de criação de software, e não como um remendo no final. Para uma empresa que desenvolve sistemas, esta frente é frequentemente a mais negligenciada e a mais explorada.

Os controles essenciais:

  • Gestão de segredos: senhas, chaves e certificados nunca devem ficar escritos no código ou esquecidos na esteira. Eles precisam viver em um cofre digital dedicado (um "secrets manager"), com acesso controlado e trocado com frequência. Foi exatamente esse tipo de descuido que o grupo procurou.
  • Gestão de vulnerabilidades e dependências: software moderno é montado com centenas de componentes de terceiros. Sem saber quais são e sem corrigir suas falhas, a empresa herda o risco de código que nunca escreveu. Manter um inventário desses componentes (às vezes chamado de SBOM, a "lista de ingredientes" do software) é parte do básico.
  • Segurança na esteira (CI/CD): proteger o ambiente que constrói e publica os sistemas, porque quem domina a esteira domina tudo o que sai dela.
  • Privacidade e segurança desde o desenho: pensar em proteção desde a concepção do produto (os princípios de security by design e privacy by design), não na véspera do lançamento.

Frente 3: Continuidade de negócios

Continuidade de negócios é a capacidade de continuar operando, ou de se recuperar rapidamente, quando algo dá muito errado: um ataque, uma falha, um fornecedor que cai. E é aqui que o detalhe mais perturbador do Breeze Comet, apagar os logs, encontra a sua resposta.

  • BIA (Business Impact Analysis), a análise de impacto no negócio: o exercício de descobrir quais processos são realmente críticos e quanto custa cada hora deles parada. Sem isso, a empresa protege o que é visível, não o que é essencial.
  • RTO e RPO: duas metas que todo plano sério define. O RTO (Recovery Time Objective) é o tempo máximo aceitável para voltar a operar depois de uma parada. O RPO (Recovery Point Objective) é o volume máximo de dados que a empresa aceita perder, medido em tempo (por exemplo, "no máximo as últimas 15 minutos de dados"). São eles que transformam "temos backup" em um compromisso real.
  • Plano de resposta a incidentes testado: um plano que nunca foi ensaiado costuma falhar exatamente na hora da crise, quando não há tempo de improvisar.
  • Evidência que sobrevive: se o atacante apaga os registros locais, a defesa é ter cópias dos logs guardadas em local separado e protegido contra alteração (o conceito de log imutável). Assim, mesmo que ele limpe a cena do crime na máquina invadida, a organização ainda consegue reconstruir a história, comunicar o regulador dentro do prazo e se defender.
  • A referência: a norma internacional ISO 22301 organiza a gestão de continuidade de negócios, assim como a 27001 faz com a segurança.

O fio que costura tudo: fazer não basta, é preciso provar

Se há uma única frase para levar deste texto, é esta: na crise, quem não consegue provar não consegue se defender.

O Breeze Comet apaga logs de propósito porque sabe que, para o auditor, para o regulador, para a seguradora e para o cliente, o que não tem evidência simplesmente não existe. Uma empresa pode até estar fazendo muita coisa certa, mas se, no momento da fiscalização ou do incidente, ela não consegue mostrar a prova, com dono, data e trilha, então para o mundo externo aquilo nunca foi feito.

É por isso que, na GovSimplix, a gente insiste que maturidade de governança não é sobre ter documentos bonitos na gaveta. É sobre transformar segurança, desenvolvimento e continuidade em algo vivo, com cada controle tendo um responsável, um prazo, um status e uma evidência anexada, pronta para ser mostrada a qualquer momento. É a diferença entre "a gente faz" e "a gente prova".

Ataques como o do Breeze Comet vão continuar, e a inteligência artificial vai continuar deixando os atacantes mais rápidos. Não dá para impedir que o crime evolua. Dá, sim, para deixar de ser o elo mais fácil da corrente, e para atravessar o dia ruim como um incidente controlado, e não como uma crise de reputação da qual não se consegue nem explicar o que houve.

Por onde começar

Se você leu até aqui e ficou com a sensação de "será que a minha empresa aguentaria um ataque desses?", essa é exatamente a pergunta certa, e ela tem resposta.

O Raio-X de Maturidade da GovSimplix é um diagnóstico gratuito, de poucos minutos, que mostra em quais domínios (Segurança da Informação, Continuidade, Desenvolvimento, Riscos e outros) a sua organização está mais exposta, com uma leitura clara de risco e um retrato do que sustenta, ou não, a sua governança. É o primeiro passo para sair do escuro.

Não é preciso resolver tudo de uma vez. É preciso saber onde você está, o que falta e em que ordem atacar, antes que alguém decida atacar primeiro.

Fontes e leituras recomendadas

  • Google Threat Intelligence, Financially Motivated Threat Actor BREEZE COMET Targets Brazil.
  • The Hacker News, Breeze Comet Executes Hundreds of Fraudulent Transactions via Brazilian Payment Systems.
  • Caso C&M Software: cobertura sobre o maior ataque ao Pix, com prejuízo estimado acima de R$ 1 bilhão (julho de 2025).
  • Anthropic, Detecting and countering misuse of AI (agosto de 2025) e Disrupting the first reported AI-orchestrated cyber espionage campaign (novembro de 2025).

Sobre o autor

Julio César
Fundador e Arquiteto das Soluções, GovSimplix

Julio César é bacharel em Ciências da Computação pela USTJ e graduado em Análise e Desenvolvimento de Sistemas. É especialista pós-graduado em Cibersegurança e Governança de Dados pela PUC Minas e pós-graduado em Gestão Estratégica de Negócios pela Universidade Presbiteriana Mackenzie.

Possui certificação internacional de Lead Auditor para as normas ISO 27001 (Segurança da Informação), ISO 27701 (Privacidade da Informação) e ISO 42001 (Gestão de Inteligência Artificial), além da certificação Lean Six Sigma Black Belt, voltada para melhoria de processos e redução de variabilidade operacional.

Na GovSimplix, é o responsável pela concepção e evolução da arquitetura metodológica que estrutura os 11 domínios de governança empresarial da plataforma. Combina formação técnica, experiência em auditoria de sistemas de gestão e visão executiva para traduzir a complexidade da governança em estrutura operável para organizações de qualquer porte e setor.