A arquitetura do eCrime financeiro na LATAM: limites dos modelos defensivos tradicionais

PÚBLICO · CISOs, diretores de Risco, Heads of Fraud e tomadores de decisão tecnológica em bancos e fintechs da LATAM.

Resumo executivo

Minha tese é concreta: nos casos documentados aqui, uma defesa concentrada principalmente no acesso inicial deixa perguntas críticas sem resposta quando o risco continua na sessão, nas identidades que habilitam processos institucionais e no receptor ou na movimentação posterior dos fundos.

Não sustento que autenticação, perímetro, EDR, WAF ou motores antifraude tenham deixado de ser úteis. Também não afirmo que todo o sistema bancário latino-americano compartilhe as mesmas lacunas. Sustento algo mais limitado: as fontes revisadas mostram limites de cobertura quando controles úteis são observados de forma isolada e a decisão de confiança termina no login ou na autorização inicial de uma operação.

As três dimensões deste whitepaper —sessão, identidade e movimentação de fundos— formam um marco de análise que proponho a partir de evidências distintas. Elas não constituem uma única cadeia operacional demonstrada nem provam que o mesmo ator tenha percorrido as três.

1. Sessão: autenticar-se não esgota a decisão de confiança

Em 25 de agosto de 2026, a Group-IB documentou o Balonx Sistema, uma plataforma PhaaS direcionada a instituições financeiras mexicanas. A investigação descreve uma conexão WebSocket persistente entre a página de phishing e o painel do operador, interação bidirecional em tempo real, captura das informações inseridas pela vítima e mudanças dinâmicas de tela. Quando a vítima entrega suas credenciais, o operador pode retransmiti-las ao portal legítimo, receber a solicitação de MFA e exibir uma tela para capturar o OTP antes que expire. Group-IB, Balonx Sistema, 25-08-2026

A fonte descreve essa arquitetura como controle de sessões em tempo real e como uma operação man-in-the-middle. Isso não demonstra que o Balonx necessariamente utilize um proxy reverso nem que roube cookies de sessão em todos os fluxos. O que considero demonstrado para esta análise é o mecanismo exposto pela Group-IB: WebSocket persistente, interação em tempo real, captura de credenciais/OTP e manipulação dinâmica da experiência da vítima. O caso documentado se limita ao México; não o utilizo para afirmar presença ou ausência desse mecanismo em outros países da LATAM. Group-IB, seção “Mecánica del ataque”

O NIST SP 800-63B-4 estabelece no §3.2.5 que autenticadores que exigem a introdução manual de uma saída —como OTP ou outros mecanismos fora de banda— não são considerados resistentes a phishing porque essa saída não fica criptograficamente vinculada à sessão específica que está sendo autenticada. O NIST reconhece mecanismos criptográficos com channel binding ou verifier-name binding como formas de resistência a phishing. Esse alcance é autenticação: por si só, não implica autorização de pagamentos, detecção de fraude transacional nem imunidade contra toda forma de roubo de sessão. NIST SP 800-63B-4, §3.2.5

Minha conclusão para esta dimensão: a arquitetura defensiva precisa conseguir relacionar autenticação, continuidade da sessão, dispositivo e operação. Um login bem-sucedido é um sinal importante, não uma garantia suficiente sobre tudo o que acontece depois.

2. Identidade e infraestrutura institucional

A segunda dimensão aparece quando o risco deixa de estar limitado ao dispositivo ou às credenciais do cliente e alcança os acessos que permitem operar ambientes financeiros.

A CrowdStrike descreve publicamente o SLIM SPIDER como um adversário de eCrime que ataca instituições financeiras brasileiras desde pelo menos março de 2026 e demonstra conhecimento operacional da infraestrutura financeira do Brasil, incluindo Pix, plataformas de ativos digitais e ambientes cloud de entidades financeiras. Esse perfil público não demonstra por si só o mecanismo concreto de comprometimento de identidades privilegiadas nem detalhes de intrusão que não estejam expostos na fonte pública utilizada aqui. CrowdStrike, Slim Spider Adversary Profile

Separadamente, o CrowdStrike 2026 Threat Hunting Report reflete investigações ativas realizadas entre 1º de julho de 2025 e 30 de junho de 2026 e descreve, em escala global, o abuso de fluxos legítimos de autenticação para transformar uma identidade comprometida em acesso rápido a SaaS e cloud. Não atribuo esse padrão global ao SLIM SPIDER; uso-o como evidência separada de que uma identidade autenticada pode se converter em uma rota de acesso a ambientes institucionais. CrowdStrike, 2026 Threat Hunting Report

Minha conclusão para esta dimensão: uma estratégia de defesa financeira não deveria limitar sua pergunta a “o dispositivo do cliente está protegido?”. Também precisa saber quais identidades humanas e não humanas podem acessar processos financeiros críticos, com quais privilégios, quais segredos ou credenciais as habilitam e quais sinais permitem detectar abuso desses acessos.

3. Receptor e movimentação de fundos: a transação não termina no remetente

A terceira dimensão não começa necessariamente depois que o dinheiro sai. O risco do receptor pode ser avaliado antes de uma transferência, e a movimentação posterior pode oferecer sinais adicionais depois que a operação começa. Por isso, trato beneficiário e movimentação de fundos como uma mesma superfície de análise, não como uma cronologia inevitável.

Em abril de 2026, a BioCatch publicou resultados baseados em dados de 36 instituições financeiras latino-americanas que, em conjunto, atendem a mais de 300 milhões de clientes. Nessa amostra, as tentativas de fraude que utilizavam ferramentas de acesso remoto aumentaram mais de cinco vezes no último ano, e as contas mula reportadas aumentaram 42% em nível regional. São dados proprietários de clientes da BioCatch; não constituem um censo de todas as instituições, usuários ou fraudes da América Latina. BioCatch, Tendências de Fraude Bancário Digital na América Latina 2026

Para entender por que o tempo pode importar na camada receptora, utilizo uma referência fora da LATAM com alcance explícito. A RUSI publicou Following the Fraud: The Role of Money Mules, baseado, entre outras fontes, em dados transacionais fornecidos pelo Lloyds Bank sobre contas mula conhecidas no Reino Unido. Nessa amostra, cerca de 28% do valor recebido saiu nos primeiros 15 minutos; 25% adicionais saíram dentro da primeira hora e menos de 15% permaneciam após 24 horas. O próprio alcance da fonte exige que esses números sejam lidos como evidência de uma amostra britânica de uma única instituição, não como métricas da LATAM nem como limiares universais. RUSI, Following the Fraud: The Role of Money Mules

Minha conclusão para esta dimensão: além de avaliar o ordenante, convém poder analisar o beneficiário, suas relações e a sequência temporal de movimentos. Nenhum desses sinais, isoladamente, demonstra que uma pessoa seja uma mula ou que uma operação seja fraudulenta.

4. Onde encontro os limites dos modelos defensivos tradicionais

Os casos anteriores não demonstram o fracasso de toda uma classe de controles. A partir desses casos, proponho avaliar quais zonas podem ficar sem cobertura quando os controles são considerados de forma isolada.

Balonx documenta uma operação capaz de atuar dentro do fluxo de autenticação e interação com a vítima. O NIST explica por que a introdução manual de OTP não oferece resistência criptográfica a phishing. O perfil público do SLIM SPIDER estabelece um caso de eCrime centrado em instituições financeiras brasileiras e seus ambientes financeiros/cloud. O Threat Hunting Report da CrowdStrike documenta, de forma global e separada, abuso de identidades autenticadas em SaaS/cloud. A BioCatch aporta sinais regionais de sua própria base de clientes sobre acesso remoto e contas mula. A RUSI aporta evidência britânica de uma única instituição sobre a velocidade de dispersão a partir de contas mula conhecidas. Group-IB · NIST · CrowdStrike SLIM SPIDER · CrowdStrike 2026 Threat Hunting Report · BioCatch · RUSI

Não derivo dessas evidências uma “cadeia comum” demonstrada. Derivo uma síntese defensiva própria: uma instituição deveria conseguir responder, separadamente e em conjunto, a três perguntas:

1. Sessão: que evidência permite saber que a sessão continua confiável depois da autenticação?
2. Identidade: quais pessoas, contas, serviços ou segredos podem operar processos financeiros críticos e com quais privilégios?
3. Receptor e fundos: que risco o beneficiário apresenta e o que acontece com o dinheiro depois que a operação começa?

Esse é o sentido do marco sessão, identidade e movimentação de fundos. Ele não descreve uma sequência obrigatória do adversário; descreve três superfícies que não deveriam permanecer desconectadas na defesa.

5. Governança e orçamento: transformar a tese em perguntas mensuráveis

Não proponho percentuais universais de orçamento. Não disponho de uma amostra que permita sustentar que todas as instituições devam investir a mesma proporção em cada capacidade.

Proponho, em vez disso, que cada entidade contraste seu investimento atual com perguntas mensuráveis sobre sua própria operação:

Sessão. Que porcentagem das operações de alto risco pode ser relacionada a autenticação, dispositivo, continuidade de sessão e mudanças de contexto? Que sinais existem depois do login e quem pode agir sobre eles?

Identidade. Quais contas humanas e não humanas têm acesso a processos financeiros críticos? Que privilégios conservam, por quanto tempo e com quais mecanismos de revisão, rotação e rastreabilidade?

Receptor e fundos. Que informação existe sobre o beneficiário antes de autorizar uma transferência? A instituição consegue relacionar contas receptoras, recorrência, velocidade de dispersão e sinais compartilhados com outras áreas ou entidades quando a regulação permite?

Inteligência. Que decisão concreta cada feed, relatório ou IOC sustenta? Que período e população cobre? Que parte se confirma com telemetria própria e que incerteza permanece?

Minha recomendação orçamentária, portanto, não é “mover X% do perímetro para outra ferramenta”. É identificar onde termina hoje a visibilidade da organização e financiar as lacunas que a evidência própria demonstrar, sem retirar controles que continuem agregando valor.

6. Conclusão

Minha tese não é que os modelos defensivos tradicionais tenham deixado de funcionar. É que seu alcance se torna insuficiente quando a confiança é avaliada em um único ponto e o restante da operação permanece fragmentado entre equipes e controles.

Nas fontes documentadas aqui, o problema aparece em dimensões diferentes: Balonx atua sobre a interação de autenticação; SLIM SPIDER posiciona eCrime sobre infraestrutura financeira brasileira e ambientes cloud; o Threat Hunting Report da CrowdStrike demonstra, de forma global e separada, o abuso de identidades autenticadas em SaaS/cloud; a BioCatch documenta, dentro de sua própria amostra latino-americana, sinais relacionados a acesso remoto e contas mula; e a RUSI aporta evidência britânica sobre a rapidez com que fundos saíram de contas mula conhecidas em uma amostra do Lloyds Bank.

Essas fontes não provam um único ator, uma única campanha nem uma única cadeia de ataque. A integração entre sessão, identidade e movimentação de fundos é minha proposta de análise defensiva, construída a partir de problemas que hoje costumam ficar separados entre cibersegurança, identidade, fraude, AML, risco e operações.

O acesso inicial continua importante. A tese deste whitepaper é que a decisão defensiva não deveria terminar ali.

Fontes

• Group-IB — Balonx Sistema: El Rostro Detrás del PhaaS que Impacta la Banca Mexicana — 25-08-2026 — https://www.group-ib.com/blog/balonx-sistema-mexico-phaas-es/
• NIST — SP 800-63B-4: Digital Identity Guidelines: Authentication and Authenticator Management — final 31-07-2025 — https://pages.nist.gov/800-63-4/sp800-63b.html
• CrowdStrike — Slim Spider Adversary Profile — https://www.crowdstrike.com/en-us/adversaries/slim-spider/
• CrowdStrike — 2026 Threat Hunting Report — período de investigação 01-07-2025 a 30-06-2026 — https://www.crowdstrike.com/en-us/resources/reports/threat-hunting-report/
• BioCatch — Tendências de Fraude Bancário Digital na América Latina 2026 — 2026 — https://www.biocatch.com/report-2026-digital-banking-fraud-trends-in-latin-america-es
• RUSI — Kathryn Westmore e Allison Owen, Following the Fraud: The Role of Money Mules — web 14-08-2025; PDF julho de 2025 — https://www.rusi.org/explore-our-research/publications/emerging-insights/following-fraud-role-money-mules