Breeze Comet frauda Pix, STR e Boleto no Brasil
Grupo mira empresas com acesso a pagamentos e usa suporte falso, AnyDesk e servidores vulneráveis.
Resumo rápido
Empresas brasileiras de serviços financeiros, varejo e e-commerce são alvo do Breeze Comet desde 2024. O grupo manipula Pix, STR e Boleto para executar transferências fraudulentas. Segundo o Google Threat Intelligence Group e a Mandiant, ao menos um roubo chegou a dezenas de milhares de dólares.
Neste artigo você vai aprender:
- Quem é o Breeze Comet e por que ele mira o Brasil
- Quais sistemas são citados: Pix, STR e Boleto
- Como o acesso inicial acontece por suporte falso e AnyDesk
- Quais sinais indicam risco de invasão ou fraude
- Medidas práticas para reduzir o impacto financeiro
O que aconteceu
O Breeze Comet, antes rastreado como UNC5669, é descrito por equipes do Google Threat Intelligence Group e da Mandiant como um adversário com motivação puramente financeira. O alvo é específico: empresas brasileiras que têm permissão para movimentar dinheiro por softwares bancários, APIs e sistemas como Pix, STR e Boleto. A escolha não é aleatória, já que uma única credencial nesses ambientes pode valer centenas de transferências.
A lista de setores atingidos inclui bancos, processadores de pagamento, varejistas, e-commerces, exchanges, fintechs e fornecedores de software bancário. Instituições como Itau, Bradesco, Nubank, Santander Brasil e Banco do Brasil compõem o ecossistema que o grupo tenta alcançar por meio de terceiros e integradores. O mesmo ator aparece em rastreamentos de outras empresas com os nomes Plump Spider e SHADOW-AETHER-064.
Como o golpe funciona
A entrada acontece por dois caminhos principais. O primeiro é a tentativa de senha em massa contra contas corporativas, testando combinações até uma funcionar. O segundo é engenharia social: ligações ou mensagens em que o criminoso se apresenta como suporte de TI e convence o funcionário a instalar uma ferramenta de acesso remoto, normalmente o AnyDesk.
Um dos casos relatados começou em uma conversa pelo WhatsApp. Passando-se pela equipe interna de TI, os criminosos orientaram a vítima a executar um script PowerShell apresentado como atualização de um aplicativo corporativo. Em outra frente, o Breeze Comet explorou servidores JBoss AS vulneráveis para instalar web shells e, na sequência, ferramentas como Chisel e utilitários de proxy para se mover pela rede.
Sinais de alerta
Para quem opera Pix, STR ou Boleto, alguns comportamentos exigem investigação imediata. Vale tratar cada item abaixo como incidente potencial até prova em contrário:
- Pedido inesperado para instalar AnyDesk ou outra ferramenta de acesso remoto.
- Contato de “suporte de TI” por telefone ou WhatsApp sem abertura formal de chamado.
- Execução de comandos PowerShell sob a justificativa de atualização de sistema.
- Acessos incomuns a softwares bancários, APIs de pagamento ou contas com permissão de transação.
- Servidor JBoss AS exposto ou desatualizado recebendo arquivos desconhecidos.
O que fazer agora
A defesa começa fechando a porta do acesso indevido. Revise quem pode aprovar ou executar transações, bloqueie a instalação não autorizada de ferramentas de acesso remoto e exija confirmação por um segundo canal sempre que alguém se apresentar como TI. Contas ligadas a pagamentos precisam de autenticação forte e privilégio mínimo, sem exceção para diretoria.
O segundo passo é olhar para os registros. Audite logs de Pix, STR, Boleto, APIs e softwares bancários procurando horários atípicos, mudanças de configuração, novas conexões remotas e transações fora do padrão histórico. Servidores JBoss AS merecem atenção separada: atualize os componentes, procure web shells e tire da internet tudo que não precisa estar exposto.
Checklist prático
- Bloqueie AnyDesk e ferramentas de acesso remoto não aprovadas, liberando apenas por política formal.
- Exija autenticação forte para contas que acessam Pix, STR, Boleto, APIs e softwares bancários.
- Crie um processo de validação para suporte de TI: chamado interno, aprovação e confirmação por canal oficial.
- Revise servidores JBoss AS expostos, procure web shells e atualize componentes vulneráveis.
- Monitore transações fora do padrão e investigue rapidamente acessos em horários incomuns.
Perguntas frequentes
O Breeze Comet ataca pessoas físicas?
O material publicado foca organizações brasileiras, em especial empresas com acesso a sistemas de pagamento e software bancário. O risco concentrado está nas contas corporativas com permissão para movimentar valores.
AnyDesk é sempre malicioso?
Não. O AnyDesk é uma ferramenta legítima de acesso remoto, usada por equipes de suporte no mundo todo. O problema aparece quando criminosos convencem funcionários a instalá-la ou operá-la sem autorização da empresa.
Pix, STR e Boleto foram invadidos?
A fonte descreve manipulação dos sistemas e softwares usados por empresas autorizadas a transacionar. O foco relatado está no acesso indevido ao ambiente das organizações, e não em uma falha nos meios de pagamento em si.
Proteja sua empresa com a MFA2GO
Fraudes financeiras começam quando uma conta crítica é acessada sem controle. A MFA2GO ajuda sua empresa a fortalecer autenticação, governar acessos e reduzir o risco de uso indevido em ambientes de pagamento.
Conheça: Cofre Corporativo de MFA, Gestão de Acesso, Autenticação Forte. mfa2go.com
Fontes:
https://thehackernews.com/2026/09/breeze-comet-executes-hundreds-of.html
Compartilhe nas redes sociais:
