A inteligência artificial no cibercrime deixou de ser apenas uma possibilidade. Uma operação identificada como Scarlet Loop colocou agentes de IA para selecionar empresas, localizar páginas de login e testar credenciais vazadas de forma autônoma. A investigação da empresa de segurança digital ZenoX identificou uma estrutura que avaliou 84.660 URLs e classificou 6.171 domínios como potenciais alvos em 107 países e territórios.
O caso chama atenção porque a IA não aparece apenas como uma ferramenta utilizada pelo criminoso. Ela participa de etapas que tradicionalmente exigiam intervenção humana, como decidir quais empresas merecem ser atacadas e descobrir como interagir com páginas de autenticação que ainda não haviam sido mapeadas.
Como funciona o ataque com inteligência artificial?
O Scarlet Loop utiliza uma técnica conhecida como credential stuffing, que consiste em testar combinações de usuário e senha obtidas em vazamentos anteriores contra outros serviços. O método explora um problema conhecido: pessoas que reutilizam as mesmas credenciais em diferentes plataformas.
Nesse caso, porém, a automação aumenta significativamente a escala. Segundo a investigação da ZenoX, agentes de inteligência artificial foram usados para identificar empresas de interesse, encontrar suas páginas de login e testar credenciais comprometidas. A estrutura chegou a validar pelo menos 11.832 credenciais, número considerado um piso pela empresa responsável pela investigação.
Além disso, a operação não ficou restrita a um único segmento. Os alvos identificados estavam distribuídos por 47 setores e incluíam empresas relacionadas a meios de pagamento, carteiras digitais, remessas internacionais, serviços financeiros e outros negócios que movimentam dinheiro.
O Brasil também aparece no escopo da operação, o que reforça a necessidade de empresas brasileiras tratarem esse tipo de ameaça como parte de sua estratégia de segurança digital.
O que muda quando a IA participa do cibercrime?
A principal mudança está na escala e na autonomia. Um criminoso tradicional precisa identificar alvos, pesquisar sistemas, testar credenciais e adaptar seus procedimentos. Com agentes de IA, parte dessas etapas pode ser automatizada.
Isso não significa que a inteligência artificial tenha substituído completamente os criminosos. A investigação mostra, porém, que modelos de IA podem assumir tarefas que antes exigiam trabalho manual e permitir que uma estrutura relativamente pequena alcance um número muito maior de empresas. A ZenoX identificou oito modelos de linguagem diferentes associados à operação.
Por isso, empresas que ainda concentram sua proteção apenas em ataques de força bruta podem deixar de perceber sinais importantes. O credential stuffing possui outro comportamento: o criminoso utiliza credenciais que já foram comprometidas e tenta descobrir onde elas ainda funcionam.
Quais sinais podem indicar um ataque?
Alguns comportamentos podem ajudar as equipes de segurança a identificar tentativas de credential stuffing. Entre eles estão:
- aumento de falhas de login distribuídas entre muitas contas;
- acessos originados de locais, idiomas ou fusos incompatíveis com o perfil do usuário;
- login bem-sucedido seguido de pouca ou nenhuma navegação;
- tentativas concentradas em períodos muito curtos;
- ataques contra subdomínios antigos ou ambientes de homologação;
- alterações repentinas no padrão de acesso às contas.
Além disso, uma sequência de tentativas pode desaparecer rapidamente e voltar em outro momento. Por isso, monitorar apenas ataques contínuos ou grandes volumes de requisições pode não ser suficiente.
Qual é o impacto jurídico para as empresas?
A preocupação não é apenas tecnológica. Quando um incidente envolve dados pessoais, a empresa também precisa avaliar suas obrigações à luz da LGPD.
O artigo 46 da Lei Geral de Proteção de Dados determina que os agentes de tratamento adotem medidas técnicas e administrativas capazes de proteger os dados pessoais contra acessos não autorizados e outras situações ilícitas.
Isso não significa, contudo, que toda invasão resulte automaticamente em responsabilização ou multa. A empresa precisa avaliar o incidente, as circunstâncias do tratamento, os riscos aos titulares e as medidas de segurança existentes.
Quando um incidente confirmado envolver dados pessoais e puder causar risco ou dano relevante aos titulares, existe obrigação de comunicação à ANPD e aos titulares, conforme as regras da autoridade.
A LGPD também prevê sanções administrativas que podem chegar a 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil, limitado a R$ 50 milhões por infração, além de outras penalidades. A aplicação depende de processo administrativo e da análise das circunstâncias do caso.
Como proteger a empresa contra credential stuffing?
A primeira medida é evitar que uma senha comprometida em outro serviço abra caminho para os sistemas corporativos. Por isso, a autenticação multifator (MFA) deve ser adotada sempre que tecnicamente possível, especialmente nos acessos administrativos e nos sistemas que concentram informações sensíveis.
Também é importante monitorar credenciais expostas em vazamentos, bloquear ou limitar tentativas suspeitas de autenticação e acompanhar padrões de acesso que fogem do comportamento habitual dos usuários.
Outra medida fundamental é revisar contas antigas, ambientes de homologação, subdomínios esquecidos e usuários que não precisam mais de acesso. Esses pontos podem permanecer ativos mesmo quando deixaram de fazer parte da rotina da empresa.
Além disso, equipes de tecnologia, segurança, jurídico e gestão precisam ter um procedimento definido para incidentes. Preservar logs e outros registros técnicos é importante tanto para investigar o ataque quanto para avaliar as medidas jurídicas e regulatórias que podem ser necessárias.
A inteligência artificial também muda a prevenção
O caso do Scarlet Loop mostra que a inteligência artificial pode reduzir o trabalho necessário para executar ataques em grande escala. Por isso, a resposta das empresas também precisa incorporar automação, monitoramento contínuo e análise de comportamento.
A questão deixou de ser apenas descobrir se uma senha vazou. É necessário entender onde aquela credencial pode estar sendo reutilizada, quais contas apresentam comportamento anormal e quais sistemas continuam expostos.
A IA não elimina a necessidade de profissionais de segurança, mas aumenta a velocidade com que um ataque pode ser planejado e executado. Para as empresas, isso significa que prevenção, monitoramento e resposta precisam caminhar juntos.
O que a empresa deve fazer agora?
Como ponto de partida, algumas medidas são especialmente importantes:
- ativar autenticação multifator nos acessos críticos;
- revisar credenciais e senhas potencialmente comprometidas;
- monitorar tentativas de credential stuffing;
- eliminar contas e acessos que não são mais utilizados;
- revisar sistemas, subdomínios e ambientes antigos;
- manter registros e logs pelo período adequado;
- estabelecer um plano de resposta a incidentes;
- envolver o jurídico e o responsável por proteção de dados desde os primeiros sinais de um incidente.
O Scarlet Loop representa uma mudança importante no cenário de segurança digital: a inteligência artificial pode ser usada não apenas para executar tarefas criminosas, mas também para escolher alvos e adaptar ataques automaticamente.
Para as empresas, a consequência é direta. Segurança digital não pode depender apenas de antivírus, firewalls ou senhas fortes. É preciso combinar tecnologia, monitoramento, governança e capacidade de resposta para reduzir os riscos de um ambiente em que os ataques também estão ficando mais automatizados.
A inteligência artificial no cibercrime deixou de ser apenas uma possibilidade. Uma operação identificada como Scarlet Loop colocou agentes de IA para selecionar empresas, localizar páginas de login e testar credenciais vazadas de forma autônoma. A investigação da empresa de segurança digital ZenoX identificou uma estrutura que avaliou 84.660 URLs e classificou 6.171 domínios como potenciais alvos em 107 países e territórios.
O caso chama atenção porque a IA não aparece apenas como uma ferramenta utilizada pelos criminosos. Na prática, ela participa de etapas que tradicionalmente exigiam intervenção humana, como decidir quais empresas merecem atenção e descobrir como interagir com páginas de autenticação ainda não mapeadas.
Como funciona o ataque com inteligência artificial?
O Scarlet Loop utiliza uma técnica conhecida como credential stuffing. Nesse método, criminosos testam combinações de usuário e senha obtidas em vazamentos anteriores contra outros serviços. Assim, o ataque explora um problema conhecido: pessoas que reutilizam as mesmas credenciais em diferentes plataformas.
Nesse caso, a automação aumenta significativamente a escala. Segundo a investigação da ZenoX, agentes de inteligência artificial identificaram empresas de interesse, localizaram suas páginas de login e testaram credenciais comprometidas. A estrutura chegou a validar pelo menos 11.832 credenciais, segundo a empresa responsável pela investigação.
Além disso, a operação não ficou restrita a um único segmento. Os alvos identificados estavam distribuídos por 47 setores e incluíam empresas relacionadas a meios de pagamento, carteiras digitais, remessas internacionais, serviços financeiros e outros negócios que movimentam dinheiro.
No Brasil, o país também aparece no escopo da operação. Por isso, empresas brasileiras precisam tratar esse tipo de ameaça como parte de sua estratégia de segurança digital.
O que muda quando a IA participa do cibercrime?
A principal mudança está na escala e na autonomia. Antes, um criminoso precisava identificar alvos, pesquisar sistemas, testar credenciais e adaptar seus procedimentos manualmente. Agora, agentes de IA podem automatizar parte dessas etapas.
Isso não significa que a inteligência artificial tenha substituído completamente os criminosos. No entanto, a investigação mostra que modelos de IA podem assumir tarefas que antes exigiam trabalho manual e permitir que uma estrutura relativamente pequena alcance um número muito maior de empresas.
A ZenoX identificou oito modelos de linguagem diferentes associados à operação. Dessa forma, o caso demonstra como diferentes ferramentas podem atuar em conjunto para ampliar a capacidade operacional de grupos criminosos.
Por isso, empresas que concentram sua proteção apenas em ataques de força bruta podem deixar de perceber sinais importantes. Afinal, o credential stuffing possui outro comportamento: o criminoso utiliza credenciais que já foram comprometidas e tenta descobrir onde elas ainda funcionam.
Quais sinais podem indicar um ataque?
Alguns comportamentos ajudam as equipes de segurança a identificar tentativas de credential stuffing. Entre eles, estão:
- aumento de falhas de login distribuídas entre muitas contas;
- acessos originados de locais, idiomas ou fusos incompatíveis com o perfil do usuário;
- login bem-sucedido seguido de pouca ou nenhuma navegação;
- tentativas concentradas em períodos muito curtos;
- ataques contra subdomínios antigos ou ambientes de homologação;
- alterações repentinas no padrão de acesso às contas.
Além disso, uma sequência de tentativas pode desaparecer rapidamente e voltar em outro momento. Por isso, monitorar apenas ataques contínuos ou grandes volumes de requisições pode não ser suficiente.
Qual é o impacto jurídico para as empresas?
A preocupação não é apenas tecnológica. Quando um incidente envolve dados pessoais, a empresa também precisa avaliar suas obrigações à luz da LGPD.
O artigo 46 da Lei Geral de Proteção de Dados determina que os agentes de tratamento adotem medidas técnicas e administrativas capazes de proteger dados pessoais contra acessos não autorizados e outras situações ilícitas.
Entretanto, isso não significa que toda invasão resulte automaticamente em responsabilização ou multa. A empresa precisa avaliar o incidente, as circunstâncias do tratamento, os riscos aos titulares e as medidas de segurança que adotava.
Além disso, quando um incidente confirmado envolve dados pessoais e pode causar risco ou dano relevante aos titulares, a empresa precisa avaliar a necessidade de comunicação à ANPD e aos titulares, conforme as regras da autoridade.
A LGPD também prevê sanções administrativas que podem chegar a 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil, limitado a R$ 50 milhões por infração. Nesse contexto, a aplicação da penalidade depende de processo administrativo e da análise das circunstâncias do caso.
Como proteger a empresa contra credential stuffing?
A primeira medida consiste em evitar que uma senha comprometida em outro serviço abra caminho para os sistemas corporativos. Por isso, a autenticação multifator (MFA) deve ser adotada sempre que tecnicamente possível, especialmente nos acessos administrativos e nos sistemas que concentram informações sensíveis.
Além disso, a empresa deve monitorar credenciais expostas em vazamentos, limitar tentativas suspeitas de autenticação e acompanhar padrões de acesso que fogem do comportamento habitual dos usuários.
Outra medida importante envolve contas antigas, ambientes de homologação, subdomínios esquecidos e usuários que não precisam mais de acesso. Esses pontos podem continuar ativos mesmo quando deixaram de fazer parte da rotina da empresa.
Da mesma forma, equipes de tecnologia, segurança, jurídico e gestão precisam estabelecer um procedimento para incidentes. Preservar logs e outros registros técnicos ajuda tanto na investigação quanto na avaliação das medidas jurídicas e regulatórias que podem se tornar necessárias.
A inteligência artificial também muda a prevenção
O caso do Scarlet Loop mostra que a inteligência artificial pode reduzir o trabalho necessário para executar ataques em grande escala. Por isso, a resposta das empresas também precisa incorporar automação, monitoramento contínuo e análise de comportamento.
A questão deixou de ser apenas descobrir se uma senha vazou. Agora, é necessário entender onde aquela credencial pode estar sendo reutilizada, quais contas apresentam comportamento anormal e quais sistemas continuam expostos.
Ao mesmo tempo, a IA não elimina a necessidade de profissionais de segurança. Ela aumenta, porém, a velocidade com que um ataque pode ser planejado e executado. Consequentemente, prevenção, monitoramento e resposta precisam caminhar juntos.
O que a empresa deve fazer agora?
Como ponto de partida, algumas medidas podem reduzir a exposição ao credential stuffing:
- ativar autenticação multifator nos acessos críticos;
- revisar credenciais e senhas potencialmente comprometidas;
- monitorar tentativas de credential stuffing;
- eliminar contas e acessos que não são mais utilizados;
- revisar sistemas, subdomínios e ambientes antigos;
- manter registros e logs pelo período adequado;
- estabelecer um plano de resposta a incidentes;
- envolver o jurídico e o responsável por proteção de dados desde os primeiros sinais de um incidente.
Em resumo, o Scarlet Loop representa uma mudança importante no cenário de segurança digital. A inteligência artificial pode ser usada não apenas para executar tarefas criminosas, mas também para escolher alvos e adaptar ataques automaticamente.
Para as empresas, portanto, a consequência é direta. Segurança digital não pode depender apenas de antivírus, firewalls ou senhas fortes. É preciso combinar tecnologia, monitoramento, governança e capacidade de resposta para reduzir os riscos de um ambiente em que os ataques também estão ficando mais automatizados.
Por Afonso Morais
Advogado com mais de 40 anos de atuação em direito bancário, especialista em fraudes digitais e recuperação de ativos financeiros, sócio fundador do escritório Pardi e Morais Advogados e criador e apresentador do podcast Falando de Fraudes.
Se você passou por uma situação parecida, veja como protegemos empresas contra fraudes ou fale com o escritório pelo WhatsApp.
Este artigo também está no portal Falando de Fraudes, iniciativa da Pardi e Morais com alertas diários sobre golpes.
