Grupo cibercriminoso chinês invade sites públicos brasileiros para promover apostas ilegais

A divisão de inteligência de ameaças cibernéticas da Check Point Software, a Check Point Research, divulgou na primeira semana de setembro um relatório sobre um grupo cibercriminoso de língua chinesa — batizado pela empresa de Gambling Goblin — que estaria invadindo servidores de órgãos públicos brasileiros para veicular conteúdo relacionado a apostas online. A publicação foi feita em primeira mão no Brasil pelo TecMundo, veículo do portfólio do jornal Estadão. A Check Point acompanha a atuação do grupo no país desde meados de 2025 e aponta uma possível ligação com o Earth Berberoka, organização de cibercrime de língua chinesa anteriormente associada a ataques contra plataformas de jogos e apostas na Ásia.

De acordo com o relatório, os invasores comprometeram servidores de instituições municipais, estaduais e federais, incluindo um ministério, uma agência pública federal, uma assembleia legislativa, tribunais de contas estaduais e prefeituras. A técnica empregada envolve a instalação de módulos maliciosos no servidor web Apache, que passam a exibir, via proxy, conteúdo hospedado na infraestrutura dos atacantes — mantendo o domínio legítimo visível ao usuário. A estratégia explora a reputação desses endereços para melhorar o posicionamento de páginas fraudulentas nos mecanismos de busca, uma prática conhecida como Black Hat SEO. Entre os conteúdos identificados estão páginas que imitam lojas digitais como Google Play, Microsoft Store e Amazon. O relatório também detectou redes de páginas em espanhol e inglês, além de registros frequentes de novos domínios, o que indica uma operação estruturada para atuar em escala e em diferentes mercados.

O fenômeno não é recente. Em entrevista ao TecMundo, Cristine Hoepers, gerente-geral do Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br), afirmou que os primeiros casos desse tipo de comprometimento para manipulação de resultados de busca foram identificados pela entidade em dezembro de 2023. Desde então, o CERT.br notifica administradores de redes vulneráveis em diferentes setores — não apenas órgãos públicos — com orientações para confirmar o comprometimento e recuperar os ambientes afetados. O Gabinete de Segurança Institucional da Presidência da República (GSI/PR), por sua vez, informou ao TecMundo que o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) não havia recebido notificações sobre comprometimento ou vazamento de dados de cidadãos relacionados aos episódios descritos no relatório. O GSI/PR ressaltou que "a atribuição de uma atividade cibernética a um ator específico é um processo complexo que depende da correlação de diferentes elementos técnicos e de inteligência".

Além da manipulação de buscas, a Check Point alertou para riscos adicionais na infraestrutura identificada. Como os servidores comprometidos podem servir conteúdo controlado pelos atacantes, uma simples mudança de configuração permitiria a distribuição direta de arquivos maliciosos aos visitantes. A empresa afirmou que não identificou com precisão o vetor de acesso inicial, mas destacou que a operação não depende necessariamente de vulnerabilidades inéditas — podendo explorar serviços expostos à internet, sistemas desatualizados e credenciais de acesso frágeis. O GSI/PR reforçou que o tratamento técnico de cada incidente cabe às equipes de TI do próprio órgão afetado, cabendo ao CTIR Gov fornecer orientações iniciais.

Para a Check Point, o caso ilustra como a expansão do mercado de apostas online no Brasil também cria oportunidades para grupos de cibercrime. O país é o principal foco do relatório, e a combinação entre servidores legítimos, automação e criação frequente de novos domínios tende a dificultar o bloqueio da infraestrutura, permitindo que a operação persista mesmo após a derrubada de páginas ou endereços específicos. O contexto é relevante: o Brasil regulamentou o mercado de apostas esportivas e jogos online a partir de 2025, com a Secretaria de Prêmios e Apostas do Ministério da Fazenda conduzindo o processo de licenciamento — um cenário que amplia a visibilidade do setor e, consequentemente, atrai também ações fraudulentas.