Operação investigada pela ZenoX envolvia cinco cibercriminosos brasileiros e mais de 40 organizações entre alvos e vítimas.
Um grupo de cinco hackers brasileiros utilizava centenas de agentes de inteligência artificial em uma operação criminosa que tinha mais de 40 organizações entre alvos e vítimas, incluindo bancos, fintechs e órgãos públicos.
Identificado como RedScanner, o grupo conseguiu extrair mais de 1,5 milhão de registros de cartões de pagamento, incluindo códigos de segurança (CVV), além de informações pessoais e financeiras de outras instituições.
A descoberta faz parte de uma investigação da ZenoX, empresa especializada em inteligência de ameaças.
Batizada de Operação Open Ledger, a investigação começou após os pesquisadores identificarem, em 27 de outubro, uma falha na infraestrutura dos próprios criminosos.
Apesar de utilizarem ferramentas sofisticadas para invadir sistemas, os cibercriminosos deixaram um servidor central exposto à internet, sem proteção por senha.
O erro permitiu que a ZenoX analisasse 7.213 arquivos, incluindo credenciais, registros de ataques e conversas com agentes de IA, revelando detalhes de uma operação ativa desde pelo menos janeiro de 2026.
Em uma das vítimas, os cibercriminosos extraíram 1.575.270 registros de cartões de pagamento com CVV.
Em outros ambientes, foram identificadas evidências do roubo de 580 mil registros com CPF de uma operação ligada ao processamento de dados previdenciários e de aproximadamente 1,34 milhão de registros de uma organização financeira.
Os pesquisadores também encontraram tentativas de manipulação de sistemas utilizados por fintechs e empresas de escrituração de fundos, com a criação de registros sintéticos para testar as plataformas.
Como as bases são distintas, não é possível determinar o número total de pessoas afetadas.
Como os cibercriminosos utilizavam agentes de IA
A inteligência artificial não era utilizada apenas para consultas ou geração de códigos.
Os cibercriminosos recorriam a agentes capazes de identificar vulnerabilidades, testar credenciais e analisar sistemas.
A ZenoX encontrou 150 transcrições de sessões de IA e registros de até 337 subagentes acionados em uma única sessão.
Os cibercriminosos também utilizavam instruções para contornar as restrições de segurança dos modelos e obter códigos maliciosos.
“A IA está permitindo que grupos criminosos executem ataques em uma velocidade que seria inviável apenas com operadores humanos. Enquanto os agentes testam vulnerabilidades e exploram sistemas, muitas empresas ainda dependem de processos manuais para identificar e responder às ameaças. Essa diferença de velocidade é uma das maiores preocupações para a segurança hoje”, afirma Gabriel Paiva, CEO da ZenoX.
A investigação também revelou que o RedScanner tinha uma estrutura semelhante à de uma pequena empresa, com divisão de funções, ferramentas próprias e controle de despesas.
O orçamento mensal declarado era de aproximadamente US$ 1.355, sendo 73% destinados a serviços de IA.
Além de ferramentas comerciais, o grupo utilizava um modelo próprio, chamado Horus, para tarefas de maior volume.
As atividades automatizadas funcionavam 24 horas por dia, sem exigir a participação constante dos operadores.
Invasores mantinham acessos após medidas de segurança
Os pesquisadores encontraram ainda credenciais válidas e ferramentas que continuavam permitindo o acesso a ambientes comprometidos.
Em um dos casos, os registros mostraram que os cibercriminosos voltaram a executar uma técnica de obtenção de credenciais após medidas de resposta a um incidente.
A análise também permitiu comprovar parte das ações criminosas por meio de comandos executados e registros de extração de dados, distinguindo ataques realizados de tentativas que não chegaram a ser concluídas.
“Bloquear a primeira invasão não significa que o criminoso saiu do sistema. Ele pode ter conseguido outras senhas ou criado novos caminhos para voltar. Quando essas tentativas são automatizadas, o tempo de reação das empresas diminui bastante. É preciso ter certeza de que todos esses acessos foram eliminados”, explica Paiva.
Como as empresas podem se proteger
A investigação identificou 86 indicadores de comprometimento, incluindo endereços IP, domínios, arquivos e mecanismos utilizados pelos cibercriminosos para manter acesso aos sistemas.
Essas informações permitem que equipes de segurança procurem sinais da atuação do RedScanner em suas redes, inclusive em ambientes que já passaram por medidas de contenção.
Entre as principais recomendações estão a revogação imediata de senhas, chaves de acesso e sessões comprometidas, o bloqueio dos endereços e domínios maliciosos identificados e a busca por ferramentas de acesso remoto e tarefas automatizadas deixadas pelos invasores.
O relatório também orienta a preservação das evidências antes das ações de resposta e o monitoramento de novas tentativas de acesso.
A atenção deve se estender a empresas e fornecedores conectados aos ambientes afetados, já que a investigação encontrou riscos de comprometimento em cadeia.
