Uma rede de cibercriminosos de língua chinesa está usando servidores de órgãos públicos brasileiros para promover um esquema de apostas online e enganar usuários na internet. A estratégia chama atenção porque os criminosos aproveitam a credibilidade dos endereços terminados em “.gov.br” para melhorar a posição de páginas fraudulentas nos resultados do Google.
Segundo uma investigação da Check Point Research, o grupo foi identificado como Gambling Goblin e estaria relacionado ao coletivo asiático conhecido como Earth Berberoka, que já foi associado a ataques envolvendo jogos de azar. A campanha é acompanhada pelos pesquisadores desde 2025, mas o tipo de invasão utilizado pelos criminosos já havia sido identificado no Brasil anteriormente.
Como funciona o golpe
Na prática, os criminosos não precisam necessariamente transformar o site do governo em uma página completamente falsa. O objetivo é aproveitar servidores legítimos para criar uma espécie de ponte entre os mecanismos de busca e os sites controlados pela quadrilha.
O invasor consegue colocar conteúdo malicioso ou alterar determinadas configurações do servidor comprometido. Com isso, uma página que possui um endereço oficial pode aparecer nos resultados de pesquisa e, quando o usuário acessa o link, ser direcionado para outro endereço controlado pelos criminosos.
A técnica é especialmente perigosa porque o domínio “.gov.br” transmite uma sensação de segurança. Muitas pessoas entendem que um endereço governamental é necessariamente confiável, e os criminosos exploram justamente essa percepção.
De acordo com a investigação, entre os alvos estão servidores ligados a um ministério, uma agência pública federal, uma assembleia legislativa, tribunais de contas estaduais e diversas prefeituras. O problema, portanto, não está limitado a uma única instituição.
Páginas falsas imitam lojas conhecidas
Depois de conseguir espaço dentro dos servidores comprometidos, o grupo utiliza a estrutura para direcionar visitantes para páginas fraudulentas.
Os pesquisadores encontraram sites que imitam serviços conhecidos, incluindo versões falsas de lojas e plataformas como Google Play, Microsoft Store e Amazon. As páginas podem apresentar logotipos, avaliações e comentários falsos para tentar convencer a vítima de que está diante de um serviço legítimo.
O principal objetivo identificado na campanha é promover apostas esportivas e jogos de azar.
O problema é que a mesma estrutura poderia ser modificada posteriormente para outros tipos de fraude. Uma página que hoje anuncia apostas pode, por exemplo, ser alterada para tentar convencer o visitante a baixar um aplicativo malicioso, instalar um programa espião ou fornecer informações pessoais.
Por isso, o ataque representa um risco maior do que simplesmente encontrar uma propaganda de apostas em um site comprometido. A infraestrutura pode ser reutilizada para diferentes golpes digitais.
Governo diz que não houve vazamento de dados
Apesar da invasão de servidores, o governo brasileiro afirmou que não recebeu notificações relacionadas a vazamentos de dados de cidadãos ou servidores nos episódios descritos pela investigação.
O Gabinete de Segurança Institucional da Presidência da República (GSI/PR) informou que o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) não identificou notificações de comprometimento ou vazamento de informações pessoais relacionadas aos casos apresentados no relatório.
Isso é importante porque uma invasão de servidor não significa automaticamente que os dados armazenados naquele ambiente foram roubados. Dependendo do tipo de acesso obtido pelo criminoso, o objetivo pode ser simplesmente utilizar o servidor para hospedar arquivos, manipular páginas ou redirecionar visitantes.
Problema já era conhecido no Brasil
O caso também mostra que a técnica não é exatamente nova.
Segundo Cristine Hoepers, gerente-geral do CERT.br, os primeiros casos envolvendo sites comprometidos para manipulação de resultados de busca foram identificados ainda em dezembro de 2023.
A prática é conhecida como SEO malicioso, ou “Malware SEO”. Basicamente, os criminosos comprometem sites legítimos e utilizam a reputação desses domínios para aumentar a visibilidade de páginas fraudulentas nos mecanismos de busca.
O CERT.br mantém registros de ocorrências desse tipo e realiza notificações para os responsáveis pelos ambientes afetados, com orientações para identificar o problema e recuperar os sistemas.
Brasil virou um dos principais alvos
Os pesquisadores apontam o Brasil como o principal mercado da campanha identificada atualmente. O grupo também possui páginas adaptadas para outros idiomas, como inglês, espanhol e vietnamita.
Outro recurso utilizado pelos criminosos é a criação frequente de novos endereços. Dessa forma, quando um domínio utilizado no golpe é bloqueado ou removido, outro pode assumir seu lugar.
A investigação também encontrou indícios de utilização de inteligência artificial para automatizar determinadas tarefas da operação, incluindo rotinas internas e criação de códigos usados na infraestrutura criminosa.
O que os órgãos públicos precisam fazer
Para reduzir o risco de novos ataques, especialistas recomendam que as equipes responsáveis pelos sistemas façam auditorias nos servidores, procurem arquivos e códigos suspeitos, eliminem componentes maliciosos e atualizem senhas e chaves de acesso.
Também é fundamental manter sistemas atualizados e realizar monitoramento contínuo. Um servidor público comprometido pode ser explorado não apenas contra o próprio órgão, mas também contra milhares de pessoas que confiam naquele endereço.
O caso serve como um alerta importante: um site com domínio oficial não está automaticamente livre de problemas de segurança. O endereço pode ser legítimo, mas sua infraestrutura pode ter sido comprometida.
Por isso, usuários também devem ficar atentos a links que aparecem em pesquisas, mesmo quando parecem estar associados a organizações conhecidas. Antes de fornecer informações, baixar aplicativos ou realizar pagamentos, é importante verificar o endereço acessado e confirmar se a página realmente pertence ao serviço procurado.
A campanha do Gambling Goblin mostra como os criminosos estão combinando invasão de servidores, manipulação de mecanismos de busca, páginas falsas e automação para alcançar novas vítimas. Mais do que um golpe envolvendo apostas, o episódio demonstra como a reputação de sites legítimos pode ser transformada em uma ferramenta para aumentar a eficiência de ataques digitais.
