Um grupo cibercriminoso identificado como Scarlet Loop mantém uma plataforma criada para facilitar ataques contra empresas e tentar obter acesso a valores, créditos e gift cards armazenados. A operação foi identificada pela empresa de segurança ZenoX, que acompanhou a atividade entre fevereiro e setembro de 2026.
Segundo a empresa, o grupo utiliza inteligência artificial (IA) para identificar empresas consideradas vulneráveis e automatizar etapas dos ataques. A plataforma funciona em um servidor Linux e também utiliza um grupo privado no Telegram para enviar informações aos operadores.
A técnica empregada é conhecida como credential stuffing, que consiste no uso de credenciais vazadas anteriormente na internet para tentar acessar contas em outros serviços.
O diferencial identificado pela ZenoX está no uso de modelos de IA para selecionar os alvos e navegar automaticamente por páginas de login, inclusive quando o sistema encontra uma tela que não havia sido previamente conhecida.
“Rastreamos o grupo por trás da plataforma como Scarlet Loop: um ator com motivação financeira, de língua portuguesa”, afirmou a empresa em relatório. Segundo a ZenoX, os criminosos direcionavam empresas ligadas a pagamentos, carteiras digitais, remessas internacionais, programas de fidelidade, gift cards, crédito e cassinos online.
Mais de 6 mil empresas foram consideradas alvos
De acordo com a investigação, a plataforma analisou 84.660 endereços de sites. Desse total, 6.171 empresas, distribuídas em 107 países, foram classificadas como alvos válidos, envolvendo 11.832 credenciais.
A ZenoX afirma que não foi possível determinar quantas dessas empresas chegaram efetivamente a ser atacadas depois da classificação.
Os pesquisadores identificaram alvos em 47 grupos de negócios diferentes. Entre os principais estavam:
- Comércio e troca de gift cards: 759 empresas;
- Cassinos online: 684;
- Adquirência e gateways de pagamento: 657;
- Carteiras digitais, e-money e remessas: 648;
- Remessa internacional e câmbio: 598;
- BNPL e crédito no ponto de venda: 398.
A distribuição dos domínios analisados também alcançou diferentes regiões. A Europa concentrou 1.048 domínios, seguida por Ásia-Pacífico, com 709, e América Latina e Caribe, com 597.
Brasil estava entre os alvos
A ZenoX afirma que o Brasil não era um alvo incidental da operação. Segundo o relatório, havia um projeto dedicado ao país dentro da plataforma.
O sistema mantinha duas listas: uma com os 6.171 alvos aprovados pela IA e outra com 13.014 domínios bloqueados. A empresa de segurança ressalta, porém, que a segunda lista não pode ser interpretada simplesmente como uma relação de empresas que foram poupadas.
Os pesquisadores identificaram casos em que um domínio principal aparecia na lista de bloqueio, enquanto um subdomínio utilizado para login permanecia entre os alvos.
A plataforma também apresentava uma função de exclusão em massa que, segundo a ZenoX, poderia apagar resultados associados a domínios bloqueados sem exigir autenticação. A empresa classificou o recurso como uma possível forma de destruição de evidências.
Outro comportamento chamou a atenção dos pesquisadores: a busca por sites de controle parental e monitoramento. A plataforma oferecia acesso a 71 domínios desse tipo, sendo 12 no Brasil.
Segundo a investigação, o interesse nesses serviços estaria relacionado à possibilidade de obter informações sobre vítimas, como localização, mensagens e atividades realizadas em dispositivos.
Imagem: Projeto (DORK) gerado por IA. Foto: Dork/Zenox/Tecmundo
Telegram era usado para controlar a operação
O grupo também utilizava o Telegram como ferramenta de apoio à operação. Um fórum privado servia para receber alertas e controlar diferentes etapas do sistema.
Quando uma credencial era identificada como válida, os operadores recebiam uma notificação. Bots também enviavam sites considerados interessantes pela IA, acompanhados de arquivos com credenciais relacionadas aos domínios.
Os operadores ainda podiam consultar a fila de alvos, interromper processos e acompanhar classificações feitas pela própria ferramenta.
Após analisar a plataforma e as conversas no Telegram, a ZenoX descreveu o Scarlet Loop como um grupo pequeno que, apesar de apresentar pouca disciplina de segurança operacional, conseguiu alcançar empresas em diferentes países utilizando serviços e ferramentas automatizadas.
IA amplia automação dos ataques
Segundo a ZenoX, o Scarlet Loop utiliza oito modelos de linguagem diferentes em sua operação, atribuídos no relatório a ferramentas da OpenAI, DeepSeek, Anthropic, Google, Z.AI e Google DeepMind.
Os modelos são empregados em tarefas como classificação de domínios, geração de buscas, navegação automatizada e criação de perfis alternativos.
Para a empresa de segurança, o caso mostra a necessidade de atualização das estratégias de defesa das empresas diante do uso de IA por grupos criminosos.
Entre os sinais que podem ajudar equipes de segurança a identificar esse tipo de atividade estão padrões anormais de tentativas de autenticação distribuídas por muitas contas, inconsistências nas características das conexões, logins bem-sucedidos sem navegação posterior e tentativas concentradas em subdomínios, ambientes de homologação ou portais antigos.
A ZenoX também aponta que rajadas curtas e intensas de tentativas, seguidas por períodos de silêncio, podem indicar operações automatizadas com grande quantidade de processos simultâneos.
