Um grupo cibercriminoso que fala chinês está invadindo servidores de órgãos públicos brasileiros para dar impulso a um esquema internacional de apostas online. A denúncia está em relatório da Check Point Research (CPR), divisão de inteligência da empresa de segurança digital Check Point Software, assinado pelo pesquisador Amit Yardeni.
Segundo o levantamento, os invasores aproveitam a credibilidade dos endereços terminados em ".gov.br" para manipular resultados de busca no Google. Com isso, usuários que procuram por outros assuntos acabam caindo em páginas falsas que imitam grandes lojas virtuais, como Google Play, Microsoft Store e Amazon.
As invasões atingem instituições em nível municipal, estadual e federal. Entre os alvos identificados pela CPR estão um ministério, uma agência pública federal, uma assembleia legislativa, tribunais de contas estaduais e dezenas de prefeituras. A própria Check Point batizou a quadrilha de "Gambling Goblin" — algo como "duende das apostas", em tradução livre.
De acordo com a Check Point, a operação está ativa desde meados de 2025. Os analistas avaliam, com grau de confiança médio a alto, que o Gambling Goblin mantém ligação com outro grupo já conhecido, o Earth Berberoka, com base na sobreposição de códigos maliciosos, marcas deixadas pelos operadores e estrutura técnica usada nos ataques.
A técnica usada consiste em instalar módulos maliciosos dentro de servidores Apache já em funcionamento nos órgãos afetados. Assim, os visitantes são encaminhados às páginas fraudulentas sem que o endereço exibido no navegador precise mudar. As páginas de destino são todas em português e trazem avaliações e comentários forjados para parecerem legítimas.
O relatório aponta ainda indícios do uso de ferramentas de inteligência artificial para automatizar partes do ataque, incluindo rotinas internas do sistema e códigos usados na instalação dos módulos maliciosos. Segundo a investigação, o Brasil é hoje o principal mercado dos golpistas, embora o mesmo modelo de fraude já tenha sido identificado em versões adaptadas para inglês, espanhol e vietnamita. Para dificultar bloqueios judiciais e remoções, o grupo cria novos endereços de internet todos os dias.
Procurado, o Gabinete de Segurança Institucional da Presidência da República (GSI/PR) informou que o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) não recebeu notificações de vazamento de dados de cidadãos ou servidores ligados aos casos descritos no relatório da Check Point. O órgão afirmou que a maior parte das ocorrências citadas corresponde a administrações municipais.
Segundo o GSI, "o tratamento técnico de cada incidente é realizado pelas próprias equipes responsáveis pelos ativos de Tecnologia da Informação do órgão vítima do ataque". Ao CTIR Gov cabe oferecer as orientações técnicas iniciais.
A gerente-geral do CERT.br, Cristine Hoepers, explicou que os primeiros casos desse tipo de manipulação em buscadores foram identificados ainda em dezembro de 2023. Ela afirmou que "não há nada que possa ser feito pelo Registro.br nesses casos" de redirecionamentos fraudulentos em larga escala, já que o problema está na configuração dos próprios servidores comprometidos.
Pesquisadores da Check Point alertam que a reputação de um domínio governamental funciona como um ativo de segurança. Um site invadido não prejudica apenas seus usuários diretos: a credibilidade acumulada pelo endereço pode ser usada pelos criminosos para ampliar o alcance das fraudes a um público muito maior. Especialistas recomendam que equipes de TI de órgãos públicos auditem imediatamente seus servidores, removam arquivos suspeitos e atualizem chaves de acesso e senhas.
