Hackers estão explorando APIs de pagamentos e sistemas de desembolso de instituições financeiras para movimentar dinheiro diretamente pela infraestrutura das próprias vítimas. O alerta veio da CERT-In, agência nacional de cibersegurança da Índia, após uma série de ataques contra fintechs, financeiras não bancárias e exchanges de criptomoedas.
Segundo o órgão, um grupo chamado Crafty Falcon utiliza ferramentas públicas de inteligência artificial para acelerar reconhecimento, exploração e outras etapas dos ataques.
A CERT-In classificou a ameaça como ativa e em andamento. No entanto, o órgão não revelou quem controla o grupo, onde ele opera nem afirmou que os ataques possuem patrocínio estatal.
Além disso, embora pesquisadores tenham relacionado pelo menos duas das ferramentas utilizadas a atores chineses, isso não significa que a CERT-In tenha atribuído o Crafty Falcon à China.
Hackers usam APIs de pagamentos das próprias vítimas
Um dos pontos mais importantes do alerta está na forma como os criminosos movimentam os recursos.
Segundo a CERT-In, o Crafty Falcon procura maneiras de acionar os próprios sistemas de pagamento e desembolso das organizações comprometidas.
Assim, os atacantes não precisam necessariamente construir uma infraestrutura paralela para enviar dinheiro.
Em vez disso, tentam assumir controle sobre os canais que a empresa já utiliza para executar transações legítimas.
APIs desempenham um papel central nesse processo.
Bancos, fintechs e financeiras utilizam essas interfaces para integrar sistemas e transmitir instruções de pagamento, crédito e liberação de recursos.
Quando um invasor compromete uma dessas integrações, pode tentar fazer com que uma solicitação fraudulenta pareça parte do fluxo normal da aplicação.
Caso envolvendo 700 transferências mostra o tamanho do risco
A Reuters havia informado anteriormente que duas financeiras não bancárias de Mumbai perderam cerca de US$ 2 milhões em mais de 700 transferências instantâneas não autorizadas nos dias 8 e 9 de outubro.
Segundo uma denúncia policial citada pela agência, hackers comprometeram APIs utilizadas para enviar instruções de liberação de empréstimos ao ICICI Bank.
Essas APIs funcionavam como conexões entre o banco, as financeiras e seus sistemas.
Uma vez comprometido esse fluxo, os criminosos conseguiram gerar ordens de pagamento indevidas.
Entretanto, existe uma distinção importante: a CERT-In não afirmou que esse episódio específico foi executado pelo Crafty Falcon.
O caso aparece como exemplo recente do tipo de ataque que vem atingindo o setor financeiro indiano.
IA acelera ataques “na velocidade da máquina”
A CERT-In afirma que o grupo utiliza inteligência artificial para analisar seus alvos e automatizar partes das invasões.
Segundo o órgão, essa abordagem permite executar atividades “na velocidade da máquina”.
Isso reduz o tempo necessário para identificar sistemas expostos, testar vulnerabilidades e procurar caminhos para chegar a aplicações críticas.
A agência citou quatro ferramentas utilizadas nesse tipo de atividade: ARTEX, PentAGI, Cairn e CyberStrikeAI.
Pesquisadores de segurança relacionaram pelo menos duas delas a campanhas associadas a grupos chineses.
No entanto, as ferramentas estavam disponíveis publicamente. Portanto, sua utilização não prova, por si só, a origem dos atacantes.
Ferramenta ARTEX já apareceu em ataques contra bancos
A ARTEX ganhou destaque recentemente após pesquisadores identificarem seu uso em ataques contra bancos sul-coreanos.
A CrowdStrike afirmou que um grupo ligado à China utilizou a ferramenta em uma campanha de espionagem que atingiu mais de 200 organizações em pelo menos 14 países.
Além disso, ataques contra instituições financeiras da Coreia do Sul também envolveram a ferramenta.
O desenvolvedor tornou a ARTEX privada posteriormente.
Ainda assim, o episódio mostra um problema crescente: ferramentas capazes de automatizar etapas ofensivas podem se espalhar rapidamente e aparecer em campanhas conduzidas por diferentes grupos.
Por isso, identificar a ferramenta utilizada nem sempre basta para identificar quem está por trás do ataque.
Criminosos escolhem fins de semana e feriados
O Crafty Falcon também adapta os ataques aos horários em que as organizações possuem menos pessoas monitorando os sistemas.
Segundo a CERT-In, os criminosos programam ações para feriados, fins de semana e outros períodos de menor supervisão.
Essa estratégia aumenta o tempo disponível antes que alguém perceba uma movimentação anormal.
No setor financeiro, poucos minutos podem representar centenas de operações.
Por isso, monitoramento contínuo não pode depender exclusivamente de equipes humanas acompanhando dashboards.
Sistemas precisam identificar automaticamente mudanças de comportamento, volumes incomuns e operações fora do padrão.
Além disso, ações críticas podem exigir autenticação adicional ou aprovações separadas antes da execução.
Empresas sofreram novos ataques após correções incompletas
Outro ponto destacado pela CERT-In envolve a resposta aos primeiros incidentes.
Segundo a agência, algumas organizações corrigiram vulnerabilidades depois de receber alertas, mas sofreram novos ataques porque a remediação ficou incompleta.
Esse cenário é comum em incidentes complexos.
Uma empresa pode fechar a vulnerabilidade inicialmente explorada e acreditar que eliminou o problema. Porém, o invasor talvez já tenha criado novas credenciais, obtido tokens, instalado ferramentas ou encontrado outro caminho dentro do ambiente.
Consequentemente, corrigir apenas a falha inicial pode não encerrar o ataque.
Após um comprometimento, equipes precisam revisar credenciais, tokens, sessões, logs, permissões e integrações relacionadas.
Segurança de APIs financeiras exige mais do que uma chave
O caso reforça uma diferença fundamental entre autenticar uma aplicação e autorizar uma operação.
Uma API pode reconhecer corretamente a credencial apresentada e ainda permitir uma transação que não deveria acontecer.
Por isso, APIs de pagamentos precisam combinar diferentes controles.
Limites de valor, análise de comportamento, escopos de permissão, rate limiting e autenticação adicional ajudam a reduzir o impacto de uma credencial comprometida.
Além disso, uma aplicação responsável apenas por consultar informações não deveria possuir permissão para emitir instruções financeiras.
Esse princípio segue a lógica do menor privilégio.
A APIBrasil explica práticas desse tipo em seu guia de segurança em APIs.
Rate limiting pode reduzir ataques automatizados
Quando criminosos utilizam automação, a velocidade se torna uma vantagem.
Por isso, limitar a quantidade de chamadas que uma identidade pode realizar em determinado intervalo ajuda a impedir comportamentos anormais.
Uma conta que normalmente envia poucas solicitações não deveria conseguir disparar centenas de ordens financeiras em segundos sem levantar alertas.
O rate limiting não resolve sozinho um comprometimento.
No entanto, ele adiciona uma barreira importante e dá mais tempo para mecanismos de detecção reagirem.
A APIBrasil também possui um guia específico sobre como implementar rate limiting em APIs.
Setor financeiro indiano enfrenta sequência de incidentes
O alerta surge após várias instituições indianas relatarem problemas recentes de cibersegurança.
O State Bank of India informou no mês passado um vazamento na dark web envolvendo 3.897 registros de clientes.
A financeira Spandana Sphoorty relatou débitos não autorizados em uma conta bancária em 1º de novembro.
Além disso, o AU Small Finance Bank investiga um possível vazamento de dados de clientes.
A CERT-In, porém, não afirmou quais desses episódios possuem relação com o Crafty Falcon.
Portanto, os incidentes mostram um aumento da pressão sobre o setor, mas não devem ser tratados como parte de uma única campanha sem confirmação.
Ataques a APIs exigem monitoramento contínuo
O alerta da Índia mostra como APIs de pagamentos podem se transformar em um alvo de alto valor quando controlam operações financeiras reais.
A mesma característica que torna essas integrações eficientes também aumenta o impacto de um comprometimento.
Uma chamada legítima pode liberar crédito, movimentar recursos ou iniciar uma transferência em poucos segundos.
Por isso, empresas precisam monitorar não apenas quem acessa uma API, mas também quais ações cada identidade executa, em que volume e em quais horários.
Além disso, após qualquer incidente, a remediação precisa considerar todo o ambiente comprometido, e não apenas a vulnerabilidade que permitiu o primeiro acesso.
Com ataques cada vez mais automatizados, autenticação, autorização, limites de operação, logs e monitoramento comportamental passam a trabalhar juntos como parte da mesma estratégia de segurança.
Para conhecer APIs de consultas, dados e integrações para aplicações e sistemas, acesse a documentação da APIBrasil e conheça os recursos disponíveis.
