){kind=link}
Servidores de órgãos públicos brasileiros foram invadidos por um grupo cibercriminoso de língua chinesa para impulsionar um esquema internacional de apostas online. A operação usa a credibilidade de endereços com final “.gov.br” para manipular resultados no Google e direcionar usuários a páginas falsas que imitam grandes lojas virtuais.
As invasões atingem instituições municipais, estaduais e federais. Entre os alvos identificados estão um ministério, uma agência pública federal, uma assembleia legislativa, tribunais de contas estaduais e dezenas de prefeituras.
smart_display
Nossos vídeos em destaque
A denúncia consta em relatório assinado pelo pesquisador Amit Yardeni, da Check Point Research (CPR), divisão de inteligência da empresa de segurança cibernética Check Point Software. Batizado pelos analistas de “Gambling Goblin”, o grupo atua desde meados de 2025 e mantém ligações com o “Earth Berberoka”, coletivo asiático especializado em ataques ligados a jogos de azar.
Governo descarta vazamento de dados
Procurado pelo TecMundo, o Gabinete de Segurança Institucional da Presidência da República (GSI/PR) informou que o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) não recebeu notificações de comprometimento ou vazamento de dados de cidadãos ou servidores relacionados aos episódios descritos no relatório.
Sobre a autoria e as providências, o GSI frisou que a identificação de invasores não é o foco do CTIR Gov: “A atribuição de uma atividade cibernética a um ator específico é um processo complexo que depende da correlação de diferentes elementos técnicos e de inteligência. Técnicas, táticas e procedimentos (TTPs) observados em incidentes podem ser utilizados por diferentes atores”, afirmou o órgão.
)
“O tratamento técnico de cada incidente é realizado pelas próprias equipes responsáveis pelos ativos de Tecnologia da Informação do órgão vítima do ataque, tendo em vista que elas possuem o acesso e gestão direta desses ambientes. Ao CTIR Gov cabe prestar as orientações técnicas iniciais”.
A pasta ressaltou ainda que, entre as ocorrências citadas pela Check Point, “a maior parcela corresponde a administrações municipais”. Segundo o GSI, o comprometimento de servidores para manipulação de buscas não é inédito e já foi alvo da Recomendação CTIR Gov 08/2024, emitida em 2024. O órgão acrescentou que atua em parceria com o CERT.br na identificação e notificação de páginas governamentais atingidas.
Esquema opera desde 2023, afirma CERT.br
Em entrevista, a gerente-geral do CERT.br, Cristine Hoepers, explicou que os primeiros casos de sites comprometidos para esquemas de manipulação em buscas foram identificados ainda em dezembro de 2023. Desde então, a entidade notifica regularmente os administradores das redes vulneráveis em diversos setores (não restritos à esfera governamental) com orientações técnicas para confirmação do problema e recuperação dos ambientes.
Os dados dessas notificações são monitorados publicamente na categoria “Malware SEO” no Portal de Estatísticas do CERT.br. Questionada sobre possíveis intervenções na infraestrutura técnica quando domínios públicos são usados em redirecionamentos fraudulentos em larga escala, Hoepers esclareceu que “não há nada que possa ser feito pelo Registro.br nesses casos”.
)
Operação criminosa
Os golpistas aproveitam a credibilidade dos servidores governamentais já estabelecidos e instalam programas nesses sistemas. Assim, ao fazer uma busca e clicar em um resultado com endereço governamental, a pessoa é redirecionada de forma oculta para páginas controladas pelos invasores.
Essas páginas de destino copiam com precisão a identidade visual de lojas oficiais como Google Play, Microsoft Store e Amazon. O conteúdo aparece em português e inclui avaliações e comentários forjados para parecer autêntico. O objetivo central da quadrilha é promover apostas esportivas e jogos de azar.
“A reputação de um domínio deve ser tratada como um ativo de segurança. O comprometimento de um site governamental não afeta apenas seus próprios usuários. A credibilidade acumulada pelo domínio pode ser explorada pelos cibercriminosos para ampliar o alcance de fraudes direcionadas a um público muito maior”, alertam os pesquisadores, em nota técnica.
A tática de manipular ferramentas de busca faz com que links de golpe ganhem posições de destaque em pesquisas rotineiras na internet. Os invasores utilizam o prestígio dos órgãos públicos justamente para furar filtros de proteção e alcançar mais vítimas.
Risco de roubo de senhas e uso de inteligência artificial
)
Além de promover apostas ilegais, a estrutura montada pode abrir caminho para golpes mais graves. De acordo com os analistas, como as páginas simulam lojas de aplicativos conhecidas, os criminosos conseguem alterar a operação a qualquer momento para induzir o download de vírus ou programas espiões no celular e no computador.
O relatório também identificou indícios de que os invasores utilizam ferramentas de inteligência artificial (IA) para automatizar partes do ataque, como a execução de rotinas internas e a criação de códigos de instalação.
O Brasil é apontado pela investigação como o principal mercado desses golpistas no momento. O modelo também foi identificado em versões adaptadas para inglês, espanhol e vietnamita. Para driblar ordens de bloqueio da Justiça e remoções, o grupo gera novos endereços todos os dias.
“Historicamente, o país esteve fortemente associado a grupos locais especializados em trojans bancários. A campanha do Gambling Goblin mostra como grupos estrangeiros podem explorar a crescente dimensão do mercado de apostas online no país e, simultaneamente, a presença de servidores públicos expostos e com alta reputação nos mecanismos de busca”, destacam os analistas.
)
Para conter as invasões, os especialistas em tecnologia recomendam que as equipes de TI de órgãos públicos façam auditorias imediatas em seus servidores, removam arquivos suspeitos e atualizem chaves de acesso e senhas, já que o grupo explora vulnerabilidades conhecidas e falta de monitoramento contínuo.
Por falar em segurança no universo digital, um golpe da falsa entrevista de emprego mira celulares para roubar dados. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.