Um grupo cibercriminoso montou uma plataforma automatizada que escaneia, seleciona e invade companhias brasileiras — tudo sem que o operador precise saber programar. A descoberta expõe um novo patamar de profissionalização do crime digital no país.
Batizada de Scarlet Loop, a operação foi mapeada pela ZenoX e funciona como um “marketplace de invasão”: a inteligência artificial filtra alvos por porte, setor e vulnerabilidades expostas, entregando ao criminoso apenas os acessos já validados.
Como a automação mudou o jogo do ransomware
Até pouco tempo, um atacante precisava varrer a internet manualmente, testar credenciais e explorar falhas uma a uma. A Scarlet Loop elimina essas etapas. O sistema monitora vazamentos, portas abertas, certificados expirados e configurações erradas em nuvem — e prioriza alvos onde o retorno financeiro seja imediato.
O painel mostra, em tempo real, quais empresas têm gift cards, créditos de marketplace ou saldos em contas de pagamento digital acessíveis. O operador escolhe, clica e o script executa a invasão, a exfiltração e a lavagem via carteiras cripto.
O perfil das vítimas preferenciais
- E-commerces de médio porte com integração a marketplaces
- Transportadoras e logísticas com contas de vale-pedágio e frete
- Redes de varejo que operam gift cards próprios
- Startups de fintech com caixas de pré-pago
Setores com alta rotatividade de credenciais e baixa maturidade de monitoramento de superfície de ataque lideram a lista. A IA do grupo aprende com cada invasão bem-sucedida e refina o modelo de seleção.
Números que dimensionam a ameaça
Segundo a investigação, a plataforma já catalogou mais de 12 mil ativos corporativos brasileiros com pelo menos uma falha crítica exposta. Dessas, cerca de 3,4 mil apresentavam vetores de acesso direto a ativos financeiros líquidos — gift cards, saldos de marketplace, contas de pagamento.
O tempo médio entre a detecção da vulnerabilidade e a primeira tentativa de exploração automatizada foi de 47 minutos. Em 68% dos casos analisados, a invasão ocorreu antes que a equipe de segurança da vítima recebesse o alerta do scanner de vulnerabilidades.
Por que defesas tradicionais falham
Firewalls, antivírus e até SIEMs convencionais olham para o tráfego suspeito depois que a conexão é estabelecida. A Scarlet Loop opera em camadas: reconhecimento passivo via OSINT, validação de credenciais vazadas em fóruns fechados, e só então execução — muitas vezes usando IPs residenciais legítimos (proxyware) que não disparam regras de geolocalização ou reputação.
Além disso, o grupo evita criptografar arquivos. O foco é furto silencioso de ativos líquidos. A vítima muitas vezes só percebe quando tenta resgatar gift cards ou recebe chargeback de marketplace por compras fraudulentas feitas com seu saldo.
O que observar daqui pra frente
A tendência é que essa arquitetura “IA + painel + automação de lavagem” seja licenciada como serviço (CaaS) para outros grupos, baixando a barreira de entrada. Empresas que não implementarem gestão contínua de superfície de ataque, monitoramento de credenciais vazadas em tempo real e controles de anomalia em APIs de gift card e marketplace ficarão expostas.
Outro vetor: a integração com marketplaces. Muitas vítimas não sabem que o token de API do seller center dá acesso direto ao saldo. Revogar chaves antigas, exigir MFA em contas de integração e limitar IPs permitidos são medidas de baixo custo e alto impacto.
O cenário deixa claro: o crime não invade mais “empresas”. Investe em dados, modelos e automação para invadir ativos financeiros específicos. Quem não enxerga a própria superfície de ataque como o criminoso enxerga, já perdeu a vantagem.
