Uma investigação de inteligência de ameaças divulgada pela empresa ZenoX revelou um esquema de comprometimento em cascata que afetou pelo menos 40 instituições financeiras e órgãos no Brasil. A operação, batizada de “Open Ledger” e conduzida por um grupo autodenominado “RedScanner”, utilizou agentes de inteligência artificial (IA) comercial para automatizar ataques e gerenciar infraestruturas de invasão. O relatório técnico foi compartilhado com exclusividade ao TecMundo.O esquema veio à tona após uma falha operacional na infraestrutura central dos criminosos, que mantinha um servidor com listagem de diretórios aberta e sem proteção na internet. O material coletado pelos analistas reuniu mais de 7 mil arquivos, incluindo transcrições de sessões de IA, ferramentas de comando e dados exfiltrados. Operação Open Ledger afeta mais de 40 instituições financeiras no Brasil Foto: Reprodução/ChatGPT O servidor comprometido era um nó Hetzner (empresa germânica de hospedagem de servidores e computação em nuvem) em Nuremberg, na Alemanha, e operava um serviço Python esquecido no diretório raiz sem autenticação ou criptografia TLS.Inteligência artificial como força de trabalho ofensivaO diferencial da operação foi o uso intensivo de agentes de inteligência artificial para conduzir o planejamento e a execução de tarefas técnicas de forma automatizada. De acordo com o documento técnico da ZenoX, o grupo manteve centenas de sessões transcritas e milhares de eventos automatizados rodando 24 horas por dia.“O RedScanner não usa IA como auxílio pontual: um agente de código comercial opera como força de trabalho primária da organização, com contabilidade própria no orçamento, rodízio automatizado de contas, LLM alternativa self-hosted para elasticidade, automação ofensiva 24 horas por dia e memória institucional mantida pela própria IA”, aponta o relatório da ZenoX.Para burlar restrições de segurança dos modelos de linguagem, os operadores utilizaram instruções sistemáticas para anular travas de recusa. Essa ação permitiu que a IA gerasse códigos maliciosos e gerenciasse rotinas de varredura sem intervenção humana constante. Estrutura organizacial do grupo RedScanner. O painel interno mapeia a divisão de papéis entre o administrador central (Janeth/Velhote) e os operadores humanos encarregados das execuções táticas. Foto: Reprodução/Zenox A estrutura contava com uma divisão de papéis entre cinco membros humanos encabeçados por um administrador central, enquanto os agentes de IA realizavam o trabalho pesado de varredura, triagem de vulnerabilidades e testes de credenciais.Impacto setorial e o lado das empresas afetadasAs ações do grupo abrangeram do roubo de dados de cartões de crédito a tentativas de manipulação de sistemas de produção em fintechs e escrituradoras de fundos. Entre os alvos documentados pelo relatório estão dezenas de organizações de grande porte, divididas em setores estratégicos como:Bancos e Instituições Financeiras: Banco Central (BCB), Banco Randon, Itaú, BTG Pactual, Banco Mercantil, Banco Digimais (Grupo Renner), Sistema Ailos, Sicoob, Banpará, Banco BS2, Banco Topázio e o Banco Inter.Fintechs, Pagamentos e Criptoativos: UY3 SCD, Genial Investimentos, FITCARD/PrimeBenefícios, Sinqia, ZRO Bank, Banco Arbi, BEM DTVM, BNY Mellon e Planner Corretora.Governo e Justiça: Órgãos federais e estaduais mapeados sob os códigos de sigilo G-01 a G-06.A ZenoX destacou que, em vários casos de testes contra o setor financeiro, o grupo adotou uma postura de demonstração de capacidade controlada. Os cibercriminosos geraram registros sintéticos e mantiveram backups antes de realizar alterações para testar a resiliência dos sistemas.Apesar da sofisticação técnica, o grupo sofreu com vulnerabilidades de armazenamento da própria segurança ao acumular segredos, chaves SSH, credenciais, skills de IA (conjuntos de instruções parametrizadas e perfis operacionais detalhados que ensinam a IA a executar etapas específicas de um ataque) e dumps (cópias brutas de grandes volumes de informações extraídas diretamente de memórias de sistemas) no diretório principal do sistema de arquivos. Essa falha permitiu o mapeamento completo de atividades, servidores e métodos de exfiltração de dados. Arquitetura de inteligência artificial do grupo. A infraestrutura combina quatro camadas distintas — desde a execução por agentes comerciais (kimi-code) até o uso de uma LLM própria (Horus) para tarefas de volume. Foto: Reprodução/Zenox “O grupo tratava a própria operação como produto, mantendo versionamento de ferramentas, contabilidade formal de custos e automação contínua, mas falhas básicas de armazenamento expuseram toda a memória institucional da organização criminosa”, aponta o relatório da ZenoX.Recomendações e orientações de segurançaAs instituições afetadas ou expostas na cadeia de suprimentos foram orientadas pela empresa de segurança a adotar medidas urgentes de contenção, mitigação e remediação:Trocar senhas e chaves: revogar imediatamente tokens, chaves de API e credenciais de nuvem, além de atualizar as chaves principais dos domínios. Investigar registros (logs): analisar acessos a bancos de dados, firewalls e sistemas de mensagens para encontrar tráfego suspeito de criminosos. Bloquear a rede: aplicar barreiras imediatas contra os endereços e indicadores de rede dos atacantes. Proteger contas e acessos: remover códigos de autenticação em duas etapas (MFA/TOTP) falsos e revisar permissões de aplicativos na nuvem.Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.