BREEZE COMET é o nome atribuído pelo Google Threat Intelligence Group (GTIG) a um ator de ameaça financeiramente motivado que vem atacando organizações brasileiras e buscando acesso a sistemas de pagamentos, softwares bancários e APIs para realizar transferências fraudulentas.
O caso chama atenção pelo conhecimento técnico do ecossistema financeiro e pela sofisticação crescente das invasões.
A investigação da Mandiant começou em 2024 e envolve comprometimentos observados em organizações dos setores financeiro, varejista e de comércio eletrônico no Brasil.
Em setembro de 2026, o GTIG publicou detalhes da operação e passou a identificar o cluster anteriormente chamado UNC5669 como BREEZE COMET.
Mais do que mais uma campanha de malware, o caso traz um alerta importante para bancos, fintechs, instituições de pagamento e empresas que mantêm integrações com infraestruturas financeiras: proteger a aplicação ou o perímetro de rede isoladamente já não é suficiente.
Os ataques mostram que credenciais, certificados, chaves, identidades privilegiadas, ambientes de desenvolvimento, infraestrutura em nuvem e canais de comunicação financeira precisam fazer parte de uma mesma estratégia de segurança.
O que é o BREEZE COMET e por que ele preocupa o mercado financeiro?
Segundo o GTIG e a Mandiant, o BREEZE COMET é especializado em comprometer ambientes que possuem capacidade de realizar transações por meio de softwares bancários, APIs e sistemas de pagamento, incluindo Pix, Sistema de Transferência de Reservas (STR) e boleto.
Entre os possíveis alvos estão bancos, fintechs, processadores de pagamentos, varejistas, corretoras e fornecedores de software bancário.
O diferencial está na profundidade do comprometimento necessário para atingir o objetivo final.
Para executar transferências fraudulentas, o grupo busca condições como acesso à Rede do Sistema Financeiro Nacional (RSFN) por meio de uma organização conectada à rede; credenciais de Transport Layer Security mútuo (mTLS) utilizadas para autenticação; contas privilegiadas; acesso persistente ao Active Directory ou a ambientes em nuvem; e conhecimento sobre integrações, procedimentos internos e controles antifraude.
Ou seja, o objetivo não é simplesmente comprometer uma estação de trabalho. O atacante procura avançar até componentes capazes de autorizar ou viabilizar operações financeiras reais.
Como os ataques do BREEZE COMET começam?
Não existe um único vetor de entrada. Em incidentes investigados, foram identificadas técnicas de password spraying, engenharia social por chamadas telefônicas e indução de usuários à instalação de ferramentas legítimas de monitoramento e gerenciamento remoto.
Em outros casos, sites legítimos previamente comprometidos foram utilizados para hospedar ferramentas e arquivos maliciosos disfarçados de documentos aparentemente confiáveis, como comprovantes e documentos fiscais. Essa estratégia pode dificultar mecanismos de segurança que dependem excessivamente da reputação do domínio para classificar uma conexão como confiável.
Também foram observados dispositivos físicos não autorizados conectados diretamente a redes de estabelecimentos, além da exploração de vulnerabilidades em servidores.
A diversidade desses caminhos demonstra um princípio importante: a proteção das operações financeiras precisa considerar que o comprometimento inicial pode ocorrer muito distante do sistema que efetivamente processa a transação.
Do primeiro acesso às credenciais financeiras: como o ataque evolui?
Depois de entrar no ambiente, o objetivo passa a ser ampliar privilégios e compreender a infraestrutura da vítima.
O BREEZE COMET foi observado utilizando ferramentas públicas de reconhecimento e softwares próprios para identificar contas, serviços, servidores e possíveis caminhos para movimentação lateral.
Um ponto especialmente relevante para o setor financeiro é a procura por credenciais, certificados, chaves de API e tokens de acesso.
A investigação identificou buscas em ambientes de desenvolvimento, integração e entrega contínuas (CI/CD), arquivos internos e variáveis de ambiente. O objetivo inclui encontrar credenciais mTLS e certificados administrativos capazes de autenticar sistemas financeiros.
Esse comportamento mostra por que segredos técnicos não devem permanecer expostos em código, scripts, arquivos de configuração ou variáveis inadequadamente protegidas.
Uma credencial com alto privilégio pode se transformar em uma ponte entre o comprometimento da infraestrutura de TI e o acesso a uma operação financeira crítica.
Movimento lateral e persistência aumentam a complexidade do ataque
Uma vez estabelecido no ambiente, o BREEZE COMET procura expandir sua presença.
A Mandiant identificou uso de contas de serviço comprometidas, conexões por Remote Desktop Protocol (RDP), compartilhamentos Server Message Block (SMB), ferramentas de varredura e mecanismos personalizados de tunelamento.
Entre eles está o COBALTSPIN, malware escrito em Rust que cria um proxy reverso SOCKS5 sobre WebSocket, permitindo encaminhar tráfego entre a infraestrutura de comando e controle do atacante e recursos internos da organização.
Também foram identificados diferentes backdoors desenvolvidos para manter acessos redundantes, incluindo LIGHTPAINT, MILDFROST, KICKPLATE e BOATBEAM.
A existência de múltiplos mecanismos de persistência é relevante porque retirar apenas um artefato malicioso do ambiente pode não significar que o invasor perdeu o acesso.
Inteligência artificial também começa a acelerar ataques cibernéticos
Outro aspecto relevante da investigação é o possível uso de inteligência artificial generativa.
A Mandiant encontrou evidências de que grandes modelos de linguagem foram utilizados para acelerar a criação de scripts destinados a reconhecimento de rede, validação de credenciais, implantação em escala, movimentação específica em ambientes comprometidos e extração de dados.
O caso faz parte de uma tendência mais ampla. Em setembro de 2026, o GTIG informou estar observando a evolução de agentes maliciosos de usos básicos de IA para fluxos automatizados e até agentes capazes de reduzir significativamente o tempo necessário para determinadas etapas de um ataque.
Isso não significa que a IA substituiu o conhecimento técnico dos atacantes. O impacto mais imediato está na velocidade e escala.
Atividades que antes exigiam desenvolvimento manual podem ser parcialmente automatizadas, reduzindo a janela disponível para detecção e resposta.
BREEZE COMET e Silver Fox: ataques diferentes, um alerta semelhante
Na mesma semana da divulgação do BREEZE COMET, a Microsoft detalhou outra campanha que ajuda a compreender o cenário atual de ameaças.
Nesse caso, sites falsos que imitavam fornecedores legítimos de software eram utilizados para distribuir instaladores maliciosos. Depois da execução, o malware estabelecia persistência, tentava enfraquecer mecanismos de segurança e se comunicava com infraestrutura controlada pelos atacantes.
A Microsoft avaliou, com confiança moderada, que a atividade era consistente com a campanha conhecida como Silver Fox, sem atribuí-la a um ator estatal.
Embora sejam operações diferentes, há uma conclusão comum: o fato de um arquivo, site, aplicação ou usuário parecer legítimo não deve ser suficiente para estabelecer confiança.
Essa realidade reforça estratégias de segurança baseadas em validação contínua, menor privilégio e proteção dos ativos mais críticos.
O que o caso BREEZE COMET ensina sobre proteção de sistemas financeiros?
Não existe um controle isolado capaz de impedir todas as etapas de uma campanha dessa natureza.
A própria Mandiant recomenda uma abordagem em camadas, incluindo controle de aplicações, restrição de ferramentas de gerenciamento remoto não autorizadas, autenticação multifator resistente a phishing, segmentação de rede, proteção de Active Directory, maior controle sobre ambientes Kubernetes e nuvem, monitoramento de tráfego e gerenciamento centralizado de segredos.
Para instituições financeiras, alguns pontos merecem atenção especial:
- Credenciais e segredos: certificados, chaves privadas, tokens e credenciais técnicas devem possuir armazenamento, acesso e ciclo de vida controlados.
- Privilégios: contas administrativas e de serviço precisam seguir o princípio do menor privilégio.
- Segmentação: comprometer uma estação de trabalho não deveria proporcionar um caminho simples até ambientes transacionais.
- Rastreabilidade: logs e trilhas de auditoria são essenciais para detectar comportamentos anômalos e reconstruir incidentes.
- Proteção das integrações: sistemas conectados ao Pix, STR, RSFN e outras infraestruturas críticas precisam ser tratados como componentes de alto risco.
- Defesa em profundidade: endpoint, identidade, rede, aplicações, APIs, nuvem e ativos criptográficos precisam funcionar como camadas complementares.
Particularmente importante é o gerenciamento de segredos. Entre as recomendações divulgadas pela Mandiant está a utilização de um gerenciador centralizado, com registro de acesso, evitando chaves armazenadas em texto simples no código.
Segurança precisa acompanhar a evolução das ameaças
O BREEZE COMET demonstra que ataques ao mercado financeiro estão evoluindo de fraudes voltadas exclusivamente ao usuário final para tentativas de comprometimento direto da infraestrutura utilizada para processar operações.
Nesse cenário, soluções de segurança também precisam evoluir continuamente.
A PRODIST acompanha as transformações tecnológicas e regulatórias do mercado financeiro para manter suas soluções alinhadas às necessidades de ambientes críticos. Isso envolve tecnologias relacionadas à criptografia, gestão e proteção de chaves, autenticação, assinatura digital e integrações com sistemas financeiros.
Soluções como o PRODIST STS podem integrar estratégias mais amplas de proteção de ativos criptográficos, permitindo que organizações adotem controles adequados às características de sua arquitetura, inclusive em ambientes que utilizam HSMs, Vaults e serviços de gerenciamento de chaves.
A tecnologia, entretanto, é apenas uma camada. Casos como o BREEZE COMET mostram que segurança depende da combinação entre arquitetura, governança de identidades, gestão de credenciais, monitoramento, segmentação, processos operacionais e capacidade de resposta.
PRODIST: experiência em criptografia e segurança para ambientes financeiros críticos
Fundada em 1987, a PRODIST atua há 39 anos no desenvolvimento de soluções de criptografia e segurança digital para transações financeiras.
A empresa acompanha a evolução do Sistema Financeiro Nacional e mantém soluções em operação desde o início do Sistema de Pagamentos Brasileiro (SPB), em 2002, atendendo instituições que dependem de segurança, estabilidade, disponibilidade e conformidade em processos críticos.
Mais do que responder a requisitos tecnológicos atuais, atuar nesse mercado exige acompanhar continuamente novas ameaças, mudanças regulatórias e transformações na arquitetura das instituições.
O avanço de grupos como o BREEZE COMET reforça justamente essa necessidade: a infraestrutura financeira evolui, as ameaças também, e os mecanismos de proteção precisam evoluir junto com elas.
Fontes:
FAQ – BREEZE COMET e segurança do mercado financeiro
BREEZE COMET é um ator de ameaça financeiramente motivado identificado pelo Google Threat Intelligence Group, anteriormente rastreado como UNC5669. O grupo tem como alvo organizações com acesso a sistemas financeiros e busca realizar transferências fraudulentas.
As operações observadas envolvem organizações capazes de realizar transações por softwares bancários, APIs e sistemas como Pix, STR e boleto, incluindo bancos, fintechs, processadores de pagamentos, varejistas e fornecedores de software financeiro.
O grupo busca comprometer organizações que possuem acesso à infraestrutura e às credenciais necessárias para executar transações, inclusive relacionadas ao Pix. Isso é diferente de afirmar que o grupo comprometeu a infraestrutura central do Pix.
Foram observadas técnicas como password spraying, engenharia social, ferramentas de acesso remoto, sites legítimos comprometidos, malware e até dispositivos físicos não autorizados conectados a redes.
Há evidências de uso de grandes modelos de linguagem para acelerar atividades como criação de scripts, reconhecimento, validação de credenciais, implantação e extração de dados.
A proteção deve combinar controle de identidades e privilégios, autenticação multifator, segmentação, monitoramento, segurança de endpoints, gerenciamento centralizado de segredos e proteção adequada de certificados e chaves criptográficas.
Chaves e certificados podem autenticar sistemas, proteger comunicações e viabilizar operações críticas. Por isso, precisam ter acesso controlado, armazenamento seguro, rastreabilidade e gestão adequada durante todo o ciclo de vida.
