Operação segue ativa e usa IA para selecionar alvos e testar credenciais vazadas; mais de 11,8 mil contas foram comprometidas
Um grupo cibercriminoso colocou agentes de inteligência artificial para escolher empresas que movimentam dinheiro, encontrar suas páginas de login e testar credenciais vazadas de forma autônoma. Batizada de SCARLET LOOP pela ZenoX, startup de IA e segurança digital, a estrutura avaliou, em cerca de seis meses, 84.660 URLs e qualificou 6.171 domínios como alvos, distribuídos por 47 setores e 107 países e territórios identificáveis.
A investigação mostra que a operação seguia em expansão durante a coleta dos dados. Em 4 de setembro, o servidor analisado registrava 47 projetos de descoberta. Uma semana depois, em 11 de setembro, já eram 55, com o classificador de alvos rodando ao vivo. A ZenoX também contabilizou pelo menos 11.832 credenciais validadas pela operação, número considerado um piso diante das limitações da base analisada.
A IA entrava justamente em duas etapas difíceis de automatizar em larga escala: decidir quais empresas interessavam aos operadores e descobrir como navegar por páginas de autenticação ainda desconhecidas.
“O que muda aqui é a escala. Uma operação que antes precisava adaptar manualmente sua abordagem a cada novo alvo passa a conseguir fazer isso de forma autônoma. A IA permite avançar sobre milhares de empresas diferentes sem exigir o mesmo crescimento da operação humana por trás do ataque”, explica Gabriel Paiva, CEO da ZenoX.*
O critério da IA era encontrar quem movimenta dinheiro
A seleção começava com um projeto descrito em linguagem natural pelo operador. A partir daí, um modelo gerava consultas de busca e outro avaliava os resultados com notas de zero a dez. O critério central encontrado no código era direto: “o negócio movimenta dinheiro?”, independentemente do tema inicialmente solicitado.
Cinco setores concentravam 54% dos domínios identificados e compartilhavam uma característica: mantinham saldo, crédito ou algum tipo de valor conversível diretamente na conta do usuário. Entre os segmentos mapeados estavam adquirência e gateways de pagamento, carteiras digitais, remessas internacionais, programas de fidelidade, gift cards, serviços de crédito e cassinos online.
A infraestrutura também revela a sofisticação da operação. Eles eram divididos por tarefa, entre geração de buscas, classificação de alvos e operação do navegador. Modelos mais capazes eram reservados às funções que exigiam maior julgamento, enquanto uma opção mais barata era usada na navegação em volume.
Da credencial vazada à tentativa de login
Depois da seleção do alvo, a plataforma buscava pares de usuário e senha associados àquele domínio. O agente recebia o endereço e as credenciais e tentava localizar sozinho a página de autenticação, preencher os campos e determinar se o acesso havia funcionado.
Para isso, contava com 46 ferramentas de automação e um navegador preparado para alterar diferentes sinais utilizados por mecanismos de detecção, além de serviço pago para resolução de captchas. O sistema também conseguia expandir a busca para subdomínios e suportava até 500 workers simultâneos.
Quando encontrava uma brecha, o agente podia ainda desenvolver e executar exploits de login por conta própria, sem supervisão passo a passo. A plataforma também reutilizava aprendizados obtidos em execuções anteriores nas tentativas seguintes.
IA encontra o caminho e depois deixa o ataque seguir sozinho
Um dos principais achados está no chamado Modo AUTO. Depois de um número configurável de logins confirmados no mesmo alvo, o sistema gravava a sequência de ações realizada pelo agente e passava a reproduzi-la como um script.
“O que encontramos mostra que autonomia não significa manter a IA executando todas as etapas o tempo inteiro. Ela entra justamente onde é preciso interpretar e se adaptar. Quando o sistema aprende como aquele login funciona, o modelo sai de cena e a tarefa passa a ser repetida por automação convencional. Para a defesa, isso torna o cenário mais complexo, porque a maior parte do volume pode não parecer um ataque conduzido por IA”, afirma Paiva.*
As credenciais validadas eram enviadas imediatamente para um canal privado no Telegram. O mesmo ambiente também funcionava como console de comando, permitindo aos operadores controlar partes da plataforma pelo celular.
Brasil teve reconhecimento direcionado antes da expansão global
O Brasil aparece em uma etapa anterior à expansão global. Em apenas dois dias, 28 e 29 de abril, foram realizadas 136 varreduras contra 89 domínios, que encontraram 27.460 subdomínios. Dos 89 analisados naquele momento, 52 eram brasileiros, principalmente dos segmentos de fidelidade, incentivos corporativos e gift cards.
Mais tarde, 219 domínios .br apareceram entre os alvos identificados, sendo 20 deles na faixa de alta confiança do classificador. O maior bloco brasileiro reunia 53 domínios ligados a gift cards e fidelidade. A investigação encontrou ainda um projeto dedicado ao Brasil, com escopo declarado ao país, o que reforça a conclusão do relatório de que o mercado brasileiro não apareceu de forma incidental na operação.
O que muda para a defesa
A estrutura da operação também impõe um desafio às equipes de segurança. Como a IA deixa o circuito depois de aprender a executar determinada tarefa, grande parte das tentativas passa a se comportar como uma automação convencional, o que dificulta identificar o uso de agentes apenas pelo tráfego observado.
O relatório ressalta ainda que não aparecer entre os 6.171 domínios identificados não significa que uma empresa não tenha sido alvo da operação. Para verificar uma possível exposição, a recomendação é analisar os registros de autenticação da própria organização.