Grupo cibercriminoso de língua chinesa explora servidores com domínio “.gov.br” para manipular resultados do Google e redirecionar usuários a páginas falsas que imitam lojas conhecidas

Servidores de órgãos públicos brasileiros passaram a ser utilizados por uma rede cibercriminosa internacional em uma operação que combina invasão de sites, manipulação de resultados de busca e promoção de apostas online. A estratégia explora justamente um dos elementos mais importantes para quem navega na internet: a confiança associada a endereços oficiais terminados em “.gov.br”.

A campanha foi identificada pela Check Point Research (CPR), divisão de inteligência da empresa de segurança cibernética Check Point Software. Segundo a investigação, o grupo batizado de “Gambling Goblin” tem origem de língua chinesa e mantém ligações com o chamado “Earth Berberoka”, coletivo asiático já associado a ataques relacionados ao setor de jogos de azar.

Como funciona o golpe

O ataque não depende necessariamente de convencer a vítima de que está entrando em um site governamental falso. O diferencial está justamente no uso de servidores governamentais legítimos que foram comprometidos.

Os criminosos instalam arquivos ou programas nos ambientes invadidos e passam a utilizar a reputação daquele domínio para manipular mecanismos de busca. Dessa forma, páginas relacionadas às fraudes podem aparecer em posições privilegiadas no Google.

Ao clicar em um resultado aparentemente confiável, o usuário pode ser redirecionado de maneira oculta para uma página controlada pelos criminosos.

O destino também foi cuidadosamente elaborado para diminuir as suspeitas. As páginas fraudulentas reproduzem a identidade visual de serviços conhecidos, incluindo lojas como Google Play, Microsoft Store e Amazon, além de apresentarem textos em português, avaliações falsas e comentários fabricados para transmitir aparência de legitimidade.

O objetivo principal identificado pela investigação é promover plataformas de apostas esportivas e jogos de azar.

Prefeituras estão entre os principais alvos

Sites oficiais governo falsos aposta ia golpe 2 — Imagem: Divulgação/Gerada por inteligência artificial

A dimensão da campanha chama atenção porque os ataques não estão concentrados em um único tipo de órgão público.

Foram identificados casos envolvendo instituições municipais, estaduais e federais. A lista inclui dezenas de prefeituras, tribunais de contas estaduais, uma assembleia legislativa, um ministério e uma agência pública federal. Segundo o Gabinete de Segurança Institucional da Presidência da República (GSI/PR), a maior parcela das ocorrências mencionadas no levantamento corresponde justamente a administrações municipais.

O uso desses ambientes tem uma explicação estratégica: quanto maior a reputação de um domínio, maior a possibilidade de seus conteúdos serem considerados relevantes pelos mecanismos de busca.

Na prática, os criminosos transformam a credibilidade construída por uma instituição pública em uma espécie de ferramenta para aumentar o alcance da fraude.

Governo diz não ter identificado vazamento de dados

Apesar da gravidade das invasões, há uma diferença importante entre o comprometimento dos servidores e um eventual vazamento de informações pessoais.

Questionado sobre o caso, o GSI informou que o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) não recebeu notificações de comprometimento ou vazamento de dados de cidadãos ou servidores relacionados aos episódios descritos pela Check Point.

Isso significa que, até o momento, o caso divulgado pelas autoridades e pesquisadores está relacionado principalmente à utilização indevida da infraestrutura comprometida para manipulação de buscas e redirecionamentos fraudulentos, e não a uma confirmação de roubo de bancos de dados governamentais.

O GSI também ressaltou que atribuir tecnicamente uma invasão a um grupo específico é um processo complexo e depende da correlação de diferentes evidências.

Problema não começou agora

Embora a descoberta envolvendo o “Gambling Goblin” tenha ganhado destaque em 2026, a técnica utilizada pelos criminosos não é nova. De acordo com Cristine Hoepers, gerente-geral do CERT.br, os primeiros casos de servidores comprometidos com o objetivo de manipular resultados de buscas foram identificados ainda em dezembro de 2023.

Desde então, o CERT.br vem notificando administradores de redes vulneráveis e orientando os responsáveis sobre como identificar e corrigir os problemas. A entidade acompanha os registros relacionados à categoria “Malware SEO” em seu portal de estatísticas.

O próprio CTIR Gov já havia emitido, em 2024, uma recomendação relacionada ao comprometimento de servidores públicos para manipulação de resultados de busca. Ou seja, a operação atual expõe uma vulnerabilidade conhecida que continua encontrando ambientes desprotegidos.

Brasil virou alvo prioritário da campanha

A investigação da Check Point aponta o Brasil como o principal mercado explorado atualmente pelo grupo. A operação, entretanto, não se limita ao público brasileiro: foram encontradas versões da infraestrutura adaptadas para inglês, espanhol e vietnamita.

Outro elemento dificulta o combate à campanha. Os criminosos criam novos endereços com frequência para escapar de bloqueios e remoções, dificultando a manutenção de listas de URLs fraudulentas. Essa característica permite que a rede continue substituindo páginas derrubadas por novos endereços e mantenha a operação ativa mesmo após ações de contenção.

Inteligência artificial também aparece na operação

A campanha apresenta ainda indícios do uso de inteligência artificial em determinadas etapas do ataque. Segundo a investigação, ferramentas de IA podem estar sendo utilizadas para automatizar rotinas internas e auxiliar na criação de códigos de instalação. Isso não significa que toda a invasão seja automatizada, mas mostra como recursos de inteligência artificial podem reduzir o esforço necessário para ampliar operações criminosas digitais.

Para especialistas, a combinação entre automação, manipulação de mecanismos de busca e exploração de servidores com alta reputação cria uma estrutura particularmente eficiente para alcançar potenciais vítimas.

COMPRE AQUI
Amazon Echo Show 8 (Geração mais recente) – Com novo design, tela vibrante HD de 8,7
Hollyland Lark M2 Microfone de Lapela sem Fio(2TX+3RX), Transmissão Sem Fio de 1000ft
Soundbar TCL com Subwoofer sem fio Bluetooth 2.1 Canais HDMI ARC S55H

O que usuários devem observar

A principal lição para quem navega na internet é que um endereço aparentemente confiável não é garantia absoluta de que o conteúdo exibido naquele momento seja legítimo. Neste caso, os criminosos não precisaram simplesmente criar um domínio parecido com o de uma instituição pública. Eles exploraram servidores reais para fazer com que páginas fraudulentas fossem encontradas a partir de resultados associados a sites governamentais.

Por isso, diante de páginas que prometem apostas, downloads, aplicativos ou ofertas inesperadas, vale conferir cuidadosamente o endereço acessado e evitar inserir senhas, dados bancários ou informações pessoais em páginas cujo comportamento pareça estranho.

O caso também serve de alerta para os próprios órgãos públicos. A Check Point recomenda auditorias nos servidores, remoção de arquivos suspeitos e atualização de credenciais e chaves de acesso, já que a campanha explora vulnerabilidades conhecidas e ambientes que não recebem monitoramento contínuo.

A invasão dos domínios “.gov.br” mostra, portanto, que o problema vai muito além das apostas. A reputação digital de uma instituição pública pode se transformar em uma arma nas mãos de criminosos quando sua infraestrutura é comprometida, permitindo que golpes alcancem usuários que acreditam estar diante de uma fonte legítima.

_{“Sites oficiais do governo são utilizado para golpe e apostas online”. Imagem Destacada: Divulgação/Gerada por inteligência artificial}