Water Makara intensifica ofensiva contra instituições financeiras brasileiras
O grupo Water Makara, identificado pela primeira vez em outubro de 2024, passou a ocupar lugar de destaque no cenário de ciberameaças ao direcionar, de forma sistemática, ataques a instituições financeiras no Brasil com foco no roubo e na exfiltração de dados sensíveis. As conclusões constam no relatório “2025 APT Group Research Annual Report”, elaborado pela NSFOCUS em colaboração com o Instituto de Tecnologia Avançada do Ciberespaço da Universidade de Guangzhou, na China, que analisa em profundidade o avanço das campanhas de ameaças persistentes avançadas (APTs) ao redor do mundo.
Ao longo de 2025, os pesquisadores monitoraram 86 indicadores de comprometimento relacionados à infraestrutura de rede dos alvos do Water Makara e de outros grupos. Esses rastros digitais revelaram três traços marcantes: operações extremamente eficientes, expansão constante das superfícies de ataque e uma velocidade de execução significativamente maior em comparação a anos anteriores. Em vez de golpes pontuais, o que se observa é um ciclo contínuo de reconhecimento, invasão, movimentação lateral e extração de dados, muitas vezes em janelas de tempo muito reduzidas.
Um dos fatores decisivos para essa mudança de patamar é o uso intensivo de inteligência artificial. De acordo com o relatório, a IA já ultrapassou os métodos tradicionais de ataque em várias métricas, especialmente em campanhas de phishing. Mensagens fraudulentas geradas ou otimizadas por modelos de IA alcançaram taxa de cliques de até 54%, enquanto e‑mails de phishing “manuais” obtiveram apenas cerca de 12%. Essa diferença expressiva demonstra como textos mais convincentes, personalizados e livres de erros de gramática ou tradução tornam a fraude muito mais persuasiva, reduzindo a desconfiança do usuário.
Raphael Dias, arquiteto de soluções da NSFOCUS para a América Latina, destaca que a convergência entre tecnologia de IA e operações de APT tende a se aprofundar. Segundo ele, é questão de tempo até que ataques amplamente autônomos, coordenados por agentes de IA, passem a operar quase sem intervenção humana direta. Isso inaugura uma nova era de confrontos cibernéticos, na qual ofensivas e defesas serão, em grande parte, conduzidas por sistemas inteligentes capazes de aprender com cada tentativa – bem-sucedida ou não.
O panorama global também chama atenção. Dados do Centro de Inteligência de Ameaças da NSFOCUS apontam que o número de grupos de APT em atividade no mundo chegou a 662, representando um aumento de 6,77% em relação a 2024. Desse total, 38 grupos mantiveram atividade contínua ao longo de 2025, com um pico em abril, quando 18 deles operaram simultaneamente. Trata‑se de um ecossistema em crescimento constante, em que novos atores surgem e grupos já conhecidos se reorganizam, mudam de tática e ampliam seu raio de ação.
Entre os grupos mais atuantes do período, destacam‑se nomes já consolidados na crônica da cibersegurança: Cleaver, TA505 e Lazarus estão entre os dez grupos que mais atacaram em 2025. Juntos, esses atores foram responsáveis por investidas contra 10.753 endereços IP distintos, afetando organizações de diversos setores e regiões. A presença de grupos com histórico de operações sofisticadas reforça a percepção de que o nível de profissionalismo, financiamento e especialização técnica continua em ascensão.
O relatório também realiza uma avaliação estatística das principais técnicas de ataque empregadas pelas APTs em 2025. Os ataques tradicionais de roubo de informações – conduzidos de forma direcionada, silenciosa e com foco em furtar credenciais, dados financeiros e segredos corporativos – responderam por 24% das ocorrências. Na mesma proporção, 24%, apareceram técnicas furtivas de exfiltração, que priorizam discrição máxima para manter o acesso ao ambiente comprometido pelo maior tempo possível. Logo em seguida, o cross‑site scripting (XSS) remoto baseado em web representou 13% dos casos. Somadas, essas três modalidades concentram 61% de todos os ataques analisados, o que mostra que, apesar da sofisticação crescente, a base do arsenal ofensivo continua ancorada em vetores já conhecidos.
A grande virada, no entanto, está na maneira como a inteligência artificial remodela a cadeia de ataque. Grupos de APT patrocinados por Estados passaram a usar IA como arma em larga escala, registrando um aumento de 89% na adoção dessa tecnologia em comparação ao ano anterior. As operações deixam de se limitar a automações massivas para se transformar em ofensivas inteligentes, dirigidas com precisão cirúrgica a alvos específicos. Recursos como reconhecimento automatizado de ambientes, geração dinâmica de comandos adaptados à infraestrutura da vítima e uso de deepfakes para engenharia social compõem esse novo arsenal.
No caso do Brasil, as instituições financeiras tornam‑se alvo prioritário por concentrarem alto volume de dados pessoais e transacionais, além de operarem sistemas críticos que movimentam grandes quantias diariamente. Grupos como o Water Makara exploram essa realidade lançando campanhas que combinam ataques à infraestrutura – como exploração de vulnerabilidades em servidores, APIs e aplicações web – com abordagens de engenharia social refinadas. Funcionários de bancos, parceiros de negócios, prestadores de serviço e até clientes VIP podem ser alvo de mensagens extremamente personalizadas, elaboradas com base em dados coletados de redes sociais, vazamentos anteriores e fontes públicas.
Outro aspecto preocupante é a ampliação da superfície de ataque provocada pela digitalização acelerada do setor financeiro. Adoção de aplicativos móveis, internet banking, serviços em nuvem, open finance e integração com fintechs criam um ecossistema dinâmico, mas também fragmentado, com múltiplos pontos de entrada. Cada novo sistema, API ou integração mal configurada pode servir como porta para invasores. Quando se combina essa complexidade com ferramentas alimentadas por IA capazes de mapear, em larga escala, vulnerabilidades e padrões de uso, o resultado é um terreno fértil para ofensivas mais precisas.
Para as instituições brasileiras, a resposta não pode ser apenas tecnológica; é necessário um movimento estratégico amplo. Investir em soluções defensivas que também utilizem IA – por exemplo, sistemas de detecção e resposta que identifiquem anomalias comportamentais, correlacionem eventos e ajam em tempo quase real – torna‑se indispensável. No entanto, sem uma governança de segurança madura, com processos bem definidos, gestão de riscos, políticas claras e treinamento recorrente de funcionários, as brechas humanas seguirão sendo o elo mais fraco.
A educação do usuário, interno e externo, continua sendo um dos pilares da defesa. Em um cenário no qual e‑mails de phishing criados por IA conseguem convencer mais da metade das potenciais vítimas a clicar, os programas de conscientização precisam ser atualizados para refletir esse novo nível de sofisticação. Simulações mais realistas de phishing, orientações específicas para equipes de alto risco (como times financeiros, de tecnologia e executivos) e campanhas contínuas, em vez de treinamentos pontuais, ajudam a reduzir o impacto desses ataques.
Outro ponto em ascensão é o uso de deepfakes em golpes direcionados a executivos e pessoas com poderes de decisão. Vídeos e áudios falsificados, mas extremamente convincentes, podem ser utilizados para solicitar transferências, aprovar operações ou liberar acessos. Em instituições financeiras, onde a credibilidade e a urgência costumam ser fatores críticos, esse tipo de fraude se torna ainda mais perigoso. A partir do momento em que grupos como o Water Makara passam a dominar esse recurso, as políticas internas que regulam solicitações financeiras e autorizações de alto valor precisam ser reforçadas com múltiplos fatores de verificação.
O aumento global para 662 grupos de APT mostra que o problema não é pontual nem restrito a uma região. A ofensiva é estrutural, distribuída e apoiada, em vários casos, por recursos estatais ou por mercados criminosos bem organizados. O Brasil, por ser um dos maiores mercados financeiros da América Latina e um polo de inovação em serviços bancários digitais, naturalmente entra na mira desses atores. O foco do Water Makara em alvos brasileiros reforça a necessidade de o país evoluir rapidamente em maturidade de cibersegurança, não apenas em grandes bancos, mas em todo o ecossistema financeiro, incluindo fintechs, processadoras de pagamento e provedores de tecnologia.
A tendência, segundo especialistas, é que o ciclo de ataques se torne cada vez mais curto: reconhecimento, invasão, movimento lateral e exfiltração podem ocorrer em questão de horas, especialmente quando apoiados por IA. Isso exige que as organizações adotem uma postura de detecção e resposta contínuas, baseada em monitoramento 24×7 e em equipes ou parceiros especializados em operações de segurança. O simples fato de cumprir requisitos mínimos de conformidade regulatória já não é suficiente para fazer frente à velocidade e à flexibilidade de grupos como o Water Makara.
Em resumo, o cenário que se desenha para 2025 e além é o de uma “corrida armamentista” digital, na qual ofensores e defensores disputam o uso mais eficaz da inteligência artificial. Enquanto grupos de APT exploram IA para automatizar reconhecimento, criar iscas de phishing altamente persuasivas e adaptar ataques em tempo real, as instituições financeiras brasileiras precisam responder com igual nível de sofisticação, combinando tecnologia avançada, processos robustos e uma cultura organizacional orientada à segurança. A diferença, cada vez mais, estará na capacidade de antecipar movimentos, reduzir janelas de exposição e tratar cibersegurança como tema estratégico, e não apenas como custo operacional.