Servidores de órgãos públicos brasileiros, de prefeituras a um ministério, foram comprometidos por uma quadrilha de língua chinesa que transformou endereços terminados em .gov.br em vitrine para casas de apostas. A operação foi mapeada pela Check Point Research, que batizou o grupo de Gambling Goblin e publicou o relatório completo no dia 2 de setembro.
Como o golpe funciona
O truque não é derrubar o site nem roubar bases de dados. Os invasores instalam um módulo malicioso no servidor Apache da vítima, e esse módulo passa a agir como um proxy reverso: quando o Google indexa determinadas rotas do domínio público, o servidor entrega páginas controladas pelos criminosos enquanto a barra de endereço continua mostrando o domínio oficial. Como sites de governo têm reputação alta nos mecanismos de busca, os links fraudulentos sobem no ranking e passam por cima de filtros que bloqueariam um domínio recém-criado.
As páginas de destino imitam com precisão a Google Play, a Microsoft Store e a Amazon, em português, com avaliações e comentários inventados para dar aparência de legitimidade. O produto anunciado é sempre o mesmo: plataformas de apostas esportivas e jogos de azar. Para escapar de bloqueios judiciais e remoções, o grupo cria endereços novos diariamente.
Quem foi atingido
A lista de vítimas identificada pela Check Point inclui um ministério, uma agência federal, uma uma assembleia estadual, cortes de contas de estados e prefeituras às dezenas. A maior parcela, segundo o próprio governo, corresponde a administrações municipais, que costumam ter equipes de TI menores e servidores menos monitorados. O relatório aponta o Brasil como o principal mercado do grupo hoje, com versões da campanha adaptadas para inglês, espanhol e vietnamita. A Check Point também encontrou indícios de que o grupo usa ferramentas de inteligência artificial para automatizar etapas do ataque, como a criação de scripts de instalação.
Segundo a Check Point, o Gambling Goblin opera desde a metade de 2025 e teria vínculos com o Earth Berberoka, grupo asiático já associado a campanhas voltadas a jogos de azar. A cadeia de infecção começa com um scanner que varre servidores expostos na internet em busca de vulnerabilidades conhecidas; depois vêm um downloader, backdoors e um coletor de credenciais SSH que abre caminho para outras máquinas da mesma rede.
O que diz o governo
O Gabinete de Segurança Institucional da Presidência (GSI) afirmou que o CTIR Gov, centro que responde a incidentes cibernéticos do governo federal, não recebeu notificação de vazamento de dados de cidadãos ou servidores relacionada aos casos. O órgão lembrou que o tratamento técnico cabe às equipes de TI de cada instituição atingida e que o problema não é inédito: uma recomendação específica sobre comprometimento de servidores para manipulação de buscas já havia sido publicada em 2024.
O CERT.br, por sua vez, disse que acompanha esse tipo de abuso, chamado internamente de “Malware SEO”, desde dezembro de 2023, e que notifica regularmente os administradores das redes afetadas, não apenas as governamentais. A entidade também deixou claro que o Registro.br não tem como intervir na infraestrutura dos sites comprometidos: a correção depende de cada dono do servidor.
Por que isso importa para você
Mesmo sem vazamento de dados, o esquema é perigoso para o cidadão comum. Quem pesquisa um serviço público no Google pode clicar em um resultado com endereço oficial e cair em uma loja de aplicativos falsa. Hoje o destino é uma casa de apostas, mas a Check Point alerta que a mesma estrutura pode ser reconfigurada a qualquer momento para distribuir vírus ou programas espiões para celular e PC. Para os órgãos públicos, a recomendação dos pesquisadores é auditar os servidores, remover arquivos suspeitos e trocar chaves e senhas de acesso, já que o grupo explora falhas conhecidas e falta de monitoramento contínuo.
