O grupo que invade empresas brasileiras e faz centenas de Pix fraudulentos direto da fonte

A maioria dos golpes de Pix que a gente conhece ataca o elo mais fraco: o cliente, com a mensagem falsa, o link, o falso boleto. Um grupo criminoso rastreado como Breeze Comet decidiu subir na cadeia e ir direto à fonte — invadir a infraestrutura financeira das próprias empresas e disparar as transferências de dentro, com credenciais legítimas. O Google Threat Intelligence Group (GTIG) e a Mandiant detalharam a operação em setembro.

Quem é o Breeze Comet

É um grupo financeiramente motivado, com operadores baseados no Brasil, ativo desde pelo menos 2024 (também chamado de Plump Spider e UNC5669). O alvo é o dinheiro no atacado: bancos, fintechs, processadoras de pagamento, exchanges de criptomoedas, varejo e e-commerce. Em vez de fraudar uma vítima por vez, eles buscam o acesso que permite mover centenas de transações de uma só vez.

Como eles entram

O que chama a atenção no relatório é que a porta de entrada é quase sempre humana, não técnica:

• Telefonema fingindo ser suporte de TI (vishing). Ligam para funcionários e convencem a instalar uma ferramenta de acesso remoto, como o AnyDesk. Em alguns casos, tentam cooptar alguém de dentro.
• Teste de senhas em massa (password spraying) contra os sistemas de login da empresa.
• Dispositivos físicos plantados na rede. Em lojas do varejo, chegaram a conectar aparelhos maliciosos direto na tomada de rede para criar uma entrada.
• Sites de prefeituras invadidos como esconderijo. O grupo hospedava seus programas espiões em pequenos sites .gov.br comprometidos, com nomes como ComprovantePDF.exe, para escapar dos filtros que confiam em domínios de governo.

O que acontece depois

Uma vez dentro, o Breeze Comet busca as credenciais e os acessos que dão entrada aos sistemas de pagamento — inclusive à rede que liga as instituições financeiras. Com isso, conseguem emitir ordens de transferência em nome da organização invadida, com fundos dela. O relatório descreve o padrão: acesso obtido em até 24 horas, e duas ondas de centenas de transações fraudulentas nas 24 a 48 horas seguintes, com pelo menos um roubo avaliado em dezenas de milhares de dólares. Depois, apagam os registros para esconder o rastro.

O grupo também usa inteligência artificial para acelerar o desenvolvimento de seus programas e scripts — mais um exemplo de como a IA está encurtando o tempo de preparação dos ataques.

O que a sua empresa tira disso

Mesmo quem não é banco aprende a lição, porque a entrada é a mesma de sempre:

• O telefonema é a porta. Vale a mesma regra de ouro: suporte de verdade não liga do nada pedindo acesso remoto. Combine isso com a equipe.
• Segundo fator resistente a phishing nos acessos críticos encarece o password spraying a ponto de inviabilizá-lo.
• Olho na rede física. Em lojas e filiais, uma tomada de rede acessível ao público é um convite. Portas de switch não usadas deveriam ficar desligadas.
• Visibilidade sobre o que roda nas máquinas. Ferramentas de acesso remoto que aparecem sem passar pelo padrão da TI são um dos primeiros sinais de que algo está errado — e dá para vê-las antes de a transferência sair.

O recado do caso Breeze Comet é que o crime financeiro brasileiro amadureceu: saiu do golpe de varejo e passou a mirar a artéria por onde o dinheiro corre. E, como quase sempre, a artéria foi aberta não por um código genial, mas por uma ligação bem-feita.

Fontes

• Google Threat Intelligence Group e Mandiant — Financially motivated threat actor Breeze Comet targets Brazil (01/09/2026): cloud.google.com
• Foto de capa: escritório do Google em Toronto — Raysonho, CC0, via Wikimedia Commons
• Segunda imagem: feira em Itajubá (MG) com aviso ‘Aceita Pix’ — Mateus S. Figueiredo, CC BY-SA 4.0, via Wikimedia Commons