Grupo Scarlet Loop usa IA para selecionar e invadir empresas no Brasil

Uma operação criminosa internacional que funciona como um mecanismo de seleção e invasão automatizado começou a se desenhar quando pesquisadores da empresa de segurança ZenoX rastrearam suas pegadas digitais. O grupo, batizado de Scarlet Loop, mantém um site desenvolvido especificamente para identificar empresas vulneráveis no Brasil e em outras partes do mundo, invadindo seus sistemas para roubar valores, créditos e gift cards. A revelação, feita em exclusividade ao TecMundo na quinta-feira 17 de setembro, expõe como criminosos de língua portuguesa estão usando inteligência artificial não apenas para atacar, mas para pensar como um atacante — decidindo quais alvos valem o esforço antes mesmo de tentar a invasão.

O que torna o Scarlet Loop diferente de operações criminosas convencionais não é a técnica de ataque em si, mas sua arquitetura. Modelos de linguagem ocupam dois pontos críticos do fluxo que historicamente não escalavam: primeiro, determinar quais empresas são alvos viáveis; segundo, navegar formulários de login nunca vistos antes. O resto da operação segue infraestrutura convencional. Durante seis meses de investigação, a ZenoX mapeou o alcance da rede criminosa. O sistema avaliou 84.660 endereços de sites. Dentro desse universo, 6.171 empresas espalhadas por 107 países — com 11.832 credenciais comprometidas — foram classificadas como alvos válidos. Não é possível saber com precisão quantas dessas empresas foram efetivamente invadidas após essa classificação, mas o escopo global da operação é inegável.

As empresas mais afetadas pertencem a 47 grupos de negócios diferentes, com foco particular em organizações que lidam diretamente com dinheiro: plataformas de gift cards, cassinos online, gateways de pagamento, carteiras digitais e serviços de remessa internacional. A inteligência artificial criminosa foi treinada para buscar especificamente domínios que movimentam recursos financeiros. É como se, depois de descobrir onde fica o caixa de uma loja, os criminosos parassem de procurar pelo nome da empresa na lista de lugares para descobrir e começassem a tentar entrar pela porta de login — uma estratégia que reduz drasticamente o esforço necessário para cada invasão bem-sucedida.

A coordenação da operação acontece através do Telegram, onde os criminosos usam um grupo privado no formato Fórum para receber alertas em tempo real. Enquanto a plataforma de IA roda em servidores Linux, os operadores são notificados instantaneamente sobre novos alvos identificados e tentativas de invasão. Os pesquisadores da ZenoX descrevem o Scarlet Loop como um grupo pequeno, sem disciplina de segurança operacional, que até depura suas próprias ferramentas em grupos de mensagens — e ainda assim conseguiu montar uma operação de alcance global. A razão é simples: os componentes mais difíceis da automação criminosa agora estão disponíveis como serviço.

O arsenal tecnológico do Scarlet Loop revela a sofisticação crescente do cibercrime em 2026. O grupo utiliza oito modelos de linguagem diferentes: OpenAI GPT-5.5 para classificação de domínios, GPT-5.6 para gerar buscas, Deepseek-v4-pro e Deepseek-v4-flash para pilotar navegadores automaticamente, Anthropic Claude Opus 4.6, Google Gemini 2.5 Flash, Z.AI GLM 5.1 como perfis alternativos, e Google Deepmind Gemma como modelo local rodando no próprio servidor. Essa diversidade de modelos oferece redundância e especialização — cada ferramenta otimizada para uma etapa específica do ataque.

2026 já marca um ponto de inflexão no cibercrime. É o ano em que os primeiros malwares e ransomwares desenvolvidos com inteligência artificial foram registrados. É também o ano em que agentes criminosos começaram a agir sem comando direto, operando com autonomia crescente. Agora, até painéis de busca simples já se valem de automação. A operação do Scarlet Loop continua ativa no momento desta publicação, sem possibilidade de rastreio que pudesse comprometer a investigação. Os pesquisadores alertam que equipes de cibersegurança precisam se atualizar urgentemente. Um grupo pequeno, sem disciplina operacional, já consegue usar inteligência artificial para automatizar invasões em escala global. A vulnerabilidade não está mais apenas nos sistemas das empresas — está na velocidade com que criminosos conseguem identificar, testar e explorar essas vulnerabilidades.