Water Makara intensifica ofensiva contra instituições financeiras brasileiras
O grupo Water Makara, identificado pela primeira vez em outubro de 2024, consolidou-se rapidamente como uma das principais ameaças cibernéticas direcionadas ao sistema financeiro brasileiro. De acordo com o relatório “2025 APT Group Research Annual Report”, elaborado pela NSFOCUS em parceria com o Instituto de Tecnologia Avançada do Ciberespaço da Universidade de Guangzhou, o foco central do grupo é o roubo de dados sensíveis de instituições financeiras, utilizando técnicas avançadas e, sobretudo, inteligência artificial para ampliar o alcance e a eficiência de seus ataques.
Ao longo de 2025, os pesquisadores monitoraram 86 indicadores relacionados a ameaças contra a infraestrutura de rede dos alvos do Water Makara. As incursões do grupo foram marcadas por três características predominantes: alto nível de eficiência operacional, expansão contínua das superfícies de ataque e velocidade crescente das ofensivas. Isso indica uma estrutura altamente organizada, com processos otimizados para invadir ambientes complexos, identificar rapidamente pontos vulneráveis e extrair informações de alto valor em janelas de tempo cada vez menores.
A inteligência artificial assumiu papel central na estratégia do Water Makara e de outros grupos de APT (Ameaças Persistentes Avançadas). O relatório aponta que técnicas baseadas em IA já superam métodos tradicionais em múltiplos aspectos, como agilidade de execução, volume de ataques e precisão na engenharia social. Campanhas de phishing criadas com auxílio de IA alcançaram uma taxa de cliques de até 54%, em contraste com os 12% observados em mensagens fraudulentas desenvolvidas de forma convencional. Isso mostra o quanto conteúdos personalizados, bem escritos e contextualmente relevantes, gerados por modelos de linguagem, têm se tornado mais convincentes para vítimas em todos os níveis hierárquicos das organizações.
Para Raphael Dias, arquiteto de soluções da NSFOCUS para a América Latina, o cenário atual é apenas o começo de uma transformação mais profunda. Ele destaca que a integração entre tecnologia avançada e operações de APT tende a evoluir para ataques cada vez mais autônomos, coordenados por agentes de IA capazes de tomar decisões em tempo real. Essa automatização dá início a uma nova fase dos confrontos cibernéticos, em que o ritmo e a sofisticação dos ataques tendem a ultrapassar a capacidade de resposta de muitas equipes de segurança que ainda dependem fortemente de processos manuais ou pouco integrados.
No panorama global, o Centro de Inteligência de Ameaças da NSFOCUS contabilizou 662 grupos de APT ativos em 2025, um crescimento de 6,77% em relação ao ano anterior. Entre esses, 38 grupos mantiveram atividade constante ao longo de todo o ano, demonstrando capacidade de persistência, adaptação e reorientação de alvos conforme o contexto geopolítico e econômico. Abril se destacou como o mês mais crítico, com 18 grupos atuando simultaneamente, o que evidencia um período de forte pressão sobre infraestruturas críticas, serviços essenciais e setores estratégicos.
Entre os grupos com maior volume de ofensivas, figuram nomes já conhecidos da comunidade de cibersegurança, como Cleaver, TA505 e Lazarus. Somados, esses e outros sete grupos altamente ativos foram responsáveis por ataques a 10.753 endereços IP de hosts em 2025. A abrangência das campanhas é global, mas instituições financeiras, setores de energia, telecomunicações, governo e saúde aparecem com frequência como alvos prioritários, seja pela criticidade dos serviços que prestam, seja pelo valor dos dados que armazenam.
A análise estatística das técnicas de ataque empregadas por APTs em 2025 revela que os métodos “clássicos” continuam relevantes, ainda que estejam sendo profundamente remodelados pela IA. Ataques focados em roubo de informações de forma direcionada e discreta empataram em primeiro lugar, com 24% de participação cada. Logo atrás aparece o cross-site scripting (XSS) remoto baseado na web, com 13%. Somadas, essas três categorias representam 61% de todas as ofensivas monitoradas, evidenciando que os atores maliciosos ainda dependem fortemente de exploração de falhas em aplicações web, invasão silenciosa e extração gradual de dados.
O diferencial agora está na forma como essas técnicas são operacionalizadas. A IA passou a reconfigurar a cadeia completa de ataque, desde o reconhecimento inicial até a exfiltração e o encobrimento de rastros. Grupos de APT patrocinados por Estados têm adotado massivamente algoritmos de aprendizado de máquina e modelos avançados de geração de conteúdo, resultando em um aumento de 89% no uso de IA em comparação com o ano anterior. Em vez de campanhas em massa pouco precisas, observa-se um movimento em direção a ataques inteligentes, adaptativos e altamente personalizados, apoiados por reconhecimento automatizado de alvos, geração dinâmica de comandos e uso de deepfakes para enganar usuários e sistemas de validação de identidade.
No caso específico do Water Makara, a combinação de IA com conhecimento aprofundado do ecossistema financeiro brasileiro torna o grupo especialmente perigoso. As instituições financeiras lidam com grandes volumes de transações em tempo real, o que dificulta a detecção de anomalias sutis inseridas em fluxos legítimos. Com suporte de IA, os atacantes conseguem mapear padrões de operação, horários de pico, rotinas de autorização e comportamento típico de usuários internos, adaptando-se rapidamente para evitar alertas automáticos de fraude. Esse grau de precisão aumenta a probabilidade de sucesso tanto em fraudes financeiras quanto em roubo silencioso de bases de dados de clientes, credenciais de acesso e segredos comerciais.
Além disso, os golpes de phishing direcionados (spear phishing) e de comprometimento de e-mail corporativo (BEC) tornam-se mais convincentes quando modelados por IA. Mensagens que simulam comunicações internas entre executivos, solicitações de atualização de credenciais ou instruções urgentes de pagamentos podem ser construídas com tom, vocabulário e formatação quase idênticos aos utilizados pela própria instituição. Quando essas campanhas se combinam a informações coletadas em redes sociais, vazamentos anteriores e perfis públicos de funcionários, o resultado são ataques extremamente difíceis de distinguir de comunicações legítimas.
Outro fator preocupante é a tendência de uso de deepfakes de voz e vídeo para burlar processos de verificação. Em instituições que já adotaram autenticação por biometria de voz ou por videoconferência, a capacidade da IA de imitar entonações, rostos e gestos abre novas brechas. Grupos como o Water Makara podem utilizar essas tecnologias para se passar por clientes de alto valor, diretores financeiros ou até autoridades regulatórias, buscando autorizações de transações, mudanças em cadastros ou acesso a sistemas internos.
Diante desse contexto, a defesa das instituições financeiras brasileiras precisa ir além da adoção de ferramentas pontuais de segurança. É necessário construir uma estratégia de proteção em camadas, integrando monitoramento contínuo de rede, análise avançada de comportamento, autenticação reforçada e programas de conscientização dos colaboradores. Controles tradicionais, como firewalls, antivírus e filtros de e-mail, seguem importantes, mas, isoladamente, tornam-se insuficientes diante de ameaças que utilizam IA para adaptar-se em tempo real e driblar mecanismos de detecção estáticos.
Outro ponto essencial é a revisão constante de políticas de resposta a incidentes. Diante de ataques cada vez mais rápidos, a capacidade de identificar, conter e mitigar um incidente precisa ser testada e aprimorada de forma recorrente. Simulações de ataques (incluindo cenários que usam técnicas semelhantes às de grupos como o Water Makara), exercícios de mesa e planos claros de comunicação interna e externa são cruciais para reduzir impactos regulatórios, financeiros e reputacionais.
A cooperação entre instituições financeiras, órgãos reguladores e empresas especializadas em cibersegurança também ganha relevância estratégica. O compartilhamento rápido de indicadores de comprometimento, táticas emergentes e vetores de ataque pode auxiliar o setor como um todo a elevar seu patamar de defesa. Em um cenário em que grupos de APT agem de forma coordenada, muitas vezes com recursos estatais, a resposta isolada de uma instituição tende a ser menos eficaz do que ações articuladas em nível de ecossistema.
Para o usuário final, cliente de bancos e serviços financeiros, a evolução dos ataques impulsionados por IA exige atenção redobrada. Verificar cuidadosamente remetentes de e-mails, desconfiar de pedidos urgentes de informações confidenciais, evitar clicar em links recebidos de forma inesperada e confirmar diretamente com o banco qualquer solicitação fora do padrão continuam sendo medidas fundamentais. Mesmo com camadas de proteção implementadas pelas instituições, a linha de frente muitas vezes passa pelo comportamento do próprio cliente.
Em paralelo, cresce a discussão sobre o uso responsável da inteligência artificial na cibersegurança. A mesma tecnologia que fortalece grupos como o Water Makara também está sendo usada pelas equipes de defesa para identificar padrões anômalos, prever movimentos de atacantes, automatizar correções e reduzir o tempo de resposta a incidentes. A disputa passa, cada vez mais, por quem consegue treinar melhor seus modelos, ter acesso a dados relevantes e integrar IA de forma estratégica em suas operações.
O avanço de grupos de APT apoiados por IA mostra que a “pandemia” de fraudes digitais e ataques sofisticados está longe de terminar. No Brasil, a pressão sobre o setor financeiro tende a crescer, dado o alto grau de digitalização dos serviços e o volume de transações eletrônicas. Organizações que enxergarem esse cenário apenas como um problema tecnológico correm o risco de ficar para trás. A segurança cibernética, especialmente frente a atores como o Water Makara, precisa ser encarada como tema de governança, risco e continuidade de negócios, com envolvimento direto da alta gestão e investimentos consistentes em pessoas, processos e tecnologia.