Desenrola Brasil: investigação sobre uma campanha ativa
Cinco hostnames disponíveis, consulta de CPF, atendimento simulado e uma solicitação de PIX de R$ 68,92: a cadeia documentada no código.
cyberthreatintelligence.lat · PESQUISA EDITORIAL
Inteligência estratégica sobre fraude financeira digital na América Latina
A Cyber Threat Intelligence LATAM investiga a fraude financeira digital na América Latina: malware, BEC, PhaaS, ransomware, MitM, AiTM, deepfake de voz e vídeo, fraude de KYC e biometria comportamental. Apoiamo-nos em um dataset próprio, curado à mão e analisado com ciência de dados, e em investigações de campo com referências verificáveis. Distinguimos sempre entre o que está documentado e o que efetivamente circula.
Pesquisa independente sobre fraude financeira digital na América Latina. Relatórios e análises com fontes verificáveis, para ler e consultar.
Pesquisa aberta
Cada afirmação traz a sua fonte.
Confira por conta própria.
A Cyber Threat Intelligence LATAM mostra como constrói uma leitura regional antes de pedir confiança: fontes técnicas, alertas públicos e limites visíveis. O resumo permite revisar o critério; o relatório completo é entregue sob solicitação.
O método, com um caso
Como se lê um caso de 2026: SLIM SPIDER e o Pix a partir da nuvem.
Um achado de 2026, passo a passo: o que se registra, com o que se confronta e o que fica sem afirmar.
- Registrar
CrowdStrike, Threat Hunting Report 2026: no fim de março de 2026, a OverWatch observou o SLIM SPIDER, um grupo eCrime com base no Brasil, em uma intrusão em várias etapas contra uma instituição financeira brasileira, direcionada a seus ativos cripto e a contas de pagamento instantâneo. As credenciais foram obtidas com scripts Bash que consultavam o serviço de metadados da nuvem, e o painel exposto mostrava hosts comprometidos de vários bancos e fintechs do Brasil. Registram-se fonte, data e o que afirma; o relatório não descreve como se obteve o acesso inicial.
- Confrontar
A BioCatch (2026) descreve outro ponto cego na região: a conta que recebe o dinheiro é das menos analisadas nos modelos de prevenção. A Darktrace (2026) documenta o Water Saci, outro grupo brasileiro, que usa o WhatsApp contra instituições financeiras e exchanges cripto. São ângulos diferentes: nenhuma das duas confirma sozinha o caso da CrowdStrike.
- Delimitar
Afirma-se que a CrowdStrike observou essa intrusão em março de 2026 e que ela visou ativos cripto e contas de pagamento instantâneo. Não se afirma quanto dinheiro foi subtraído, quantas instituições tiveram perdas, como foi o acesso inicial nem que o mesmo grupo esteja por trás de outros incidentes: a fonte é uma só.
Como se lê uma fonte: o caso Grandoreiro.
O mesmo achado acima, passo a passo: o que se registra, com o que se confronta e o que fica sem afirmar.
- Registrar
INTERPOL, 18 de março de 2024: cinco administradores presos no Brasil em janeiro de 2024. Registram-se fonte, data e o que afirma: prisões, não o fim da operação.
- Confrontar
Kaspersky (outubro de 2024), IBM X-Force e ESET (junho de 2025) documentam atividade posterior: três fabricantes, três telemetrias diferentes.
- Delimitar
Afirma-se que houve atividade depois da operação. Não se afirma quantas vítimas existem nem em que país pesa mais.
Evidência regional
Onde há fontes publicadas por país — e onde o mapa ainda está em branco.
Explorar o mapa ↗Explorador de famílias
Famílias do Atlas LATAM, filtráveis por plataforma e país. Contagens do dataset, não prevalência.
Abrir o explorador ↗Relatório 2023–2026
Leitura livre do estudo. O relatório completo é entregue sob pedido.
Ler o relatório ↗Consulta institucional
Bancos, CERTs e equipes de fraude: contexto, colaboração ou acesso ao material.
Escrever ↗Blog em movimento
A pesquisa não termina quando um alerta é publicado.
Cada cartão abre uma leitura pública do blog: técnicas, campanhas, limites e perguntas que seguem em aberto no ecossistema financeiro regional.
Blog
Publicações recentes
Omegatech: Seychelles, infraestrutura de fraude e a conexão com TALE-VAULT
Investigação sobre Omegatech: Seychelles, malware, notificações de abuso, reputação da infraestrutura e quatro cadeias relacionadas a TALE-VAULT.
Vaca Muerta Investment e TALE-VAULT: o que liga nove marcas e até onde vão as evidências
Uma oferta dirigida à Alemanha que usa uma referência argentina leva à infraestrutura TALE-VAULT: nove marcas com o mesmo modelo e 3.622 domínios observados entre 6 de setembro e 6 de outubro de 2026. A nota separa o que está documentado do que as evidências não permitem afirmar.
«Identidade verificada», destino enganoso: como anúncios pagos levam usuários argentinos a falsos investimentos
Em dois dias de uso normal de um celular documentei anúncios pagos, com a identidade do anunciante verificada pelo Google, que levavam a falsas matérias jornalísticas, chatbots de investimento, captação de telefones e um formulário que pede o cartão completo. Não é uma quadrilha: é um circuito de aquisição de tráfego.
AiTM e roubo de sessão: o que o token do aplicativo protege e o que não protege
AiTM pode capturar credenciais e também a sessão autenticada. A nota distingue OTP, cookies de sessão e phishing interativo; as conclusões regionais se limitam às fontes revisadas.
Biblioteca de relatórios
Todos os relatórios, em um só lugar
CTI-LATAM-2026-001 · TLP:CLEAR
CASHCLOAK LATAM
Anúncios verificados, destinos que não coincidem.
Anúncios pagos com a identidade do anunciante verificada pelo Google levavam usuários argentinos a falsas matérias de investimento, chatbots com a marca do Mercado Libre e um formulário que pede o cartão completo com o código de segurança. Não é uma quadrilha: é um mercado de tráfego.