Na primeira semana de setembro, a Check Point Research, divisão de inteligência de ameaças cibernéticas da Check Point Software, multinacional de segurança da informação, publicou um relatório sobre um grupo cibercriminoso de língua chinesa, nomeado pela empresa como Gambling Goblin, que estaria comprometendo sites oficiais de órgãos públicos para promover conteúdos relacionados a apostas no Brasil.
A unidade, que começou a acompanhar a atuação do Gambling Goblin no Brasil em meados de 2025, observou uma possível conexão com o Earth Berberoka, grupo de cibercrime de língua chinesa anteriormente associado a ataques contra sites de apostas e jogos de azar na Ásia. O relatório da Check Point foi publicado em primeira mão no Brasil pelo TecMundo, uma das marcas que integram o portfólio do jornal Estadão.
Segundo a Check Point, os responsáveis pela operação estariam utilizando servidores de órgãos públicos, incluindo instituições municipais, estaduais e federais, para manipular resultados de buscas e apresentar conteúdos fraudulentos sob domínios legítimos. Entre os alvos identificados, estão um ministério, uma agência pública federal, uma assembleia legislativa e tribunais de contas estaduais, além de prefeituras.
Segundo o relatório, os invasores instalaram módulos maliciosos no Apache capazes de fazer determinados endereços do site comprometido exibirem, via proxy, conteúdos hospedados na infraestrutura dos atacantes, mantendo o domínio legítimo visível ao usuário.
Casos semelhantes são registrados desde 2023
As atividades descritas pela Check Point não representam um fenômeno isolado. Em entrevista ao TecMundo, Cristine Hoepers, gerente-geral do Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br), afirmou que os primeiros casos de sites comprometidos para manipulação de resultados de busca identificados pela entidade ocorreram em dezembro de 2023.
Desde então, o CERT.br informa que notifica administradores de redes vulneráveis em diferentes setores, não apenas órgãos públicos, com orientações para confirmar o comprometimento e recuperar os ambientes afetados.
O relatório também identificou redes de páginas fraudulentas em outros idiomas, incluindo espanhol e inglês, além de novos domínios sendo registrados com frequência. Para a Check Point, a estrutura indica um modelo desenvolvido para operar em escala e atingir diferentes mercados.
Páginas falsas exploram reputação de sites legítimos
O Gabinete de Segurança Institucional da Presidência da República (GSI/PR) informou ao TecMundo que o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) não havia recebido notificações sobre comprometimento ou vazamento de dados de cidadãos ou de servidores relacionados aos episódios descritos no relatório da Check Point Software.
O órgão afirmou: “A atribuição de uma atividade cibernética a um ator específico é um processo complexo que depende da correlação de diferentes elementos técnicos e de inteligência. Técnicas, táticas e procedimentos (TTPs) observados em incidentes podem ser utilizados por diferentes atores”.
“O tratamento técnico de cada incidente é realizado pelas próprias equipes responsáveis pelos ativos de Tecnologia da Informação do órgão vítima do ataque, tendo em vista que elas possuem o acesso e gestão direta desses ambientes. Ao CTIR Gov cabe prestar as orientações técnicas iniciais”, acrescentou o GSI/PR em entrevista ao TecMundo.
De acordo com a Check Point, uma das principais estratégias da operação do Gambling Goblin seria aproveitar a reputação dos domínios comprometidos para melhorar o posicionamento de páginas fraudulentas nos mecanismos de busca. Entre os conteúdos identificados, estão páginas que imitam lojas e plataformas conhecidas, como Google Play, Microsoft Store e Amazon.
Além da manipulação de SEO, a infraestrutura identificada pela Check Point apresenta riscos adicionais. Como os servidores comprometidos podem ser utilizados para apresentar conteúdo controlado pelos responsáveis pela operação, uma mudança na configuração poderia permitir a distribuição direta de arquivos maliciosos (malware) aos usuários.
Operação aproveita crescimento das apostas
Para a Check Point, o caso evidencia como a expansão do mercado de apostas online também pode ser explorada por grupos de cibercrime para ações de fraude, manipulação de buscas e distribuição de conteúdo malicioso. O Brasil é o principal foco do relatório, que encontrou diversos domínios governamentais comprometidos.
A combinação entre servidores legítimos, automação e criação frequente de novos domínios pode dificultar o bloqueio da infraestrutura e permitir que a operação continue mesmo após a retirada de páginas ou de domínios específicos.
O caso também reforça a importância da segurança dos servidores que hospedam sites institucionais. Segundo o GSI/PR, em resposta ao TecMundo, o tratamento técnico cabe às equipes responsáveis pelos ativos de TI de cada órgão.
A Check Point afirmou que não identificou diretamente como ocorreu o acesso inicial aos servidores. Segundo a empresa, a operação não depende necessariamente de vulnerabilidades inéditas, podendo explorar serviços expostos à internet, sistemas sem atualização e senhas de acesso frágeis.
Quer conferir mais histórias como esta? Acesse o novo canal da SBC Media no YouTube, o novo espaço dedicado a tudo relacionado à multimídia na SBC, onde nossa equipe explora em detalhes as principais notícias dos setores de apostas esportivas, iGaming, afiliados e pagamentos.
Receba um resumo com as principais notícias sobre o mercado de jogos online e de apostas esportivas no Brasil através do link. A newsletter é enviada toda segunda, terça e quinta-feira, sempre às 17 horas.
