Agentes de IA selecionam alvos e validam credenciais vazadas em escala global
Uma operação cibercriminosa passou a utilizar agentes de inteligência artificial para identificar empresas com movimentação financeira, localizar páginas de autenticação e testar combinações de usuário e senha obtidas em vazamentos. A campanha, batizada de SCARLET LOOP pela empresa de segurança e inteligência artificial ZenoX, demonstra como a automação pode ampliar ataques contra organizações de diferentes setores e países.
Segundo a análise da companhia, a infraestrutura avaliou aproximadamente 84.660 URLs ao longo de seis meses. Desse total, 6.171 domínios foram classificados como potenciais alvos. As empresas estavam distribuídas por 47 segmentos econômicos e 107 países e territórios. O levantamento também identificou pelo menos 11.832 credenciais consideradas válidas pelos sistemas automatizados.
A operação continuava crescendo durante o período de observação. Em 4 de setembro, o servidor monitorado apresentava 47 projetos ativos de descoberta. Sete dias depois, esse número havia subido para 55, enquanto o mecanismo de classificação permanecia em execução. Para a ZenoX, esse comportamento indica uma estrutura dinâmica, capaz de ampliar rapidamente o número de organizações analisadas sem depender de uma equipe humana proporcionalmente maior.
“O principal diferencial está na escala. A inteligência artificial permite avançar sobre milhares de empresas simultaneamente, sem que a estrutura operacional humana precise crescer na mesma proporção”, explicou Gabriel Paiva, CEO da ZenoX.
Como os alvos eram escolhidos
O processo começava com uma instrução escrita em linguagem natural pelo operador criminoso. A partir desse comando, um agente gerava consultas de pesquisa, enquanto outro examinava os resultados e atribuía notas de zero a dez aos domínios encontrados.
O critério mais recorrente identificado no código era simples: verificar se a empresa movimentava dinheiro ou mantinha algum tipo de valor associado à conta do cliente. Isso fazia com que a seleção ultrapassasse o setor originalmente indicado pelo operador. Plataformas de benefícios, programas de fidelidade, serviços de cartões-presente e empresas que administram créditos estavam entre os alvos mais relevantes.
Cinco segmentos concentravam cerca de 54% dos domínios identificados. Em comum, essas empresas mantinham saldo, crédito, pontos ou algum ativo conversível vinculado aos usuários. Esse tipo de ambiente é especialmente atrativo para criminosos porque uma conta comprometida pode permitir transferências, resgates, compras ou revenda de benefícios.
Automação para driblar defesas
Para validar credenciais, o sistema contava com 46 ferramentas de automação e um navegador configurado para modificar sinais normalmente utilizados por mecanismos antifraude. A operação também recorria a um serviço pago de resolução de captchas, reduzindo uma das barreiras mais comuns contra acessos automatizados.
A infraestrutura podia executar até 500 workers simultaneamente. Esses processos buscavam páginas de login, verificavam respostas dos sistemas e ampliavam a exploração para subdomínios associados ao domínio principal. Na prática, a arquitetura permitia testar grandes volumes de organizações em pouco tempo.
Esse modelo representa uma mudança importante em relação aos ataques tradicionais. Em vez de uma pessoa pesquisar manualmente empresas, encontrar portais de acesso e testar dados vazados, os agentes de IA realizam essas etapas de forma coordenada. O operador fornece apenas o objetivo geral, e a própria estrutura decide onde procurar e quais resultados priorizar.
Empresas brasileiras aparecem entre os alvos
O Brasil foi identificado em uma fase anterior à ampliação internacional da campanha. Nos dias 28 e 29 de abril, foram realizadas 136 varreduras contra 89 domínios, resultando na descoberta de 27.460 subdomínios.
Entre os 89 domínios examinados, 52 pertenciam a empresas brasileiras, principalmente dos setores de fidelidade, incentivos corporativos e cartões-presente. Em uma etapa posterior da investigação, outros 219 domínios com extensão .br apareceram na relação de possíveis alvos.
A ausência de uma empresa na lista de 6.171 domínios não significa que ela não tenha sido examinada. A própria ZenoX recomenda que as organizações verifiquem seus registros internos de autenticação, especialmente acessos incomuns, tentativas repetidas de login e conexões originadas de locais ou dispositivos desconhecidos.
O que as empresas devem fazer
A primeira medida é revisar os logs de autenticação em busca de padrões anormais. Picos de tentativas de login, sucessivas falhas em contas diferentes, acessos distribuídos por vários países e uso intenso de subdomínios devem ser investigados com prioridade.
Também é fundamental exigir autenticação multifator, sobretudo para contas administrativas, ambientes financeiros, painéis de atendimento e sistemas que permitem resgate ou transferência de valores. Mesmo quando uma senha é exposta, uma segunda camada de verificação pode impedir o acesso indevido.
As organizações devem ainda bloquear senhas reutilizadas e comparar credenciais corporativas com bases de dados de vazamentos, sempre utilizando processos seguros e autorizados. A troca periódica de senhas, sozinha, não resolve o problema se os usuários continuam repetindo a mesma combinação em diferentes serviços.
Outro ponto importante é limitar tentativas de autenticação e adotar controles adaptativos. O sistema pode exigir verificações adicionais quando detectar mudanças bruscas de localização, dispositivo, endereço de rede ou comportamento de navegação.
Por que a ameaça tende a crescer
A operação revela que agentes de IA não precisam ser totalmente autônomos para causar impacto. Mesmo com supervisão humana limitada, eles já conseguem pesquisar empresas, organizar resultados, classificar prioridades e executar tarefas repetitivas em alta velocidade.
A tendência deve pressionar as equipes de segurança a melhorar a capacidade de detecção comportamental. Ferramentas baseadas apenas em listas de endereços maliciosos ou regras fixas podem não identificar infraestruturas que mudam rapidamente, utilizam serviços legítimos e distribuem suas atividades por milhares de tentativas.
Além disso, empresas que operam programas de pontos, carteiras digitais, créditos ou cartões-presente precisam tratar esses ativos como recursos financeiros. Contas desse tipo devem receber o mesmo nível de proteção aplicado a sistemas bancários, incluindo monitoramento contínuo, autenticação forte, análise de risco e bloqueio automático de operações suspeitas.
A SCARLET LOOP mostra que a combinação entre credenciais vazadas, automação avançada e seleção inteligente de alvos pode transformar dados antigos em uma ameaça atual. Para reduzir o risco, é necessário agir antes do incidente: identificar credenciais comprometidas, reforçar a autenticação, acompanhar os registros de acesso e preparar respostas rápidas para tentativas coordenadas em larga escala.