LONDON (IT BOLTWISE) – Die unter dem Namen Breeze Comet bekannte Hackergruppe soll KI-gestützte Skripte einsetzen, um Betrugsaktionen in brasilianischen Zahlungssystemen schneller umzusetzen. Laut Berichten zielen die Angriffe seit 2024 vor allem auf Finanzdienstleister, Einzelhandel und E-Commerce-Unternehmen. Im Mittelpunkt stehen Manipulationen an Pix, STR und Boleto, während die Gruppe offenbar auch mTLS-Zugangsdaten abgreift. Mehrere Transaktionen sollen dabei in einem Zeitfenster von 24 bis 48 Stunden nach dem ersten Eindringen abgeschlossen werden.
Für viele Unternehmen in Lateinamerika sind brasilianische Zahlungssysteme längst mehr als nur „Zahlungswege“: Sie sind zentrale Schnittstellen zwischen Kunden, Banken, Händlern und Dienstleistern. Genau diese Infrastruktur rückt die Hackergruppe Breeze Comet in den Fokus, die zuvor als UNC5669 identifiziert wurde. Berichten zufolge hat die Gruppe in den vergangenen Jahren hunderte betrügerische Transaktionen innerhalb brasilianischer Zahlungssysteme ausgeführt. Auffällig ist dabei nicht nur die Zielauswahl, sondern auch der methodische Trend: Die Angreifer kombinieren spezialisierte Schadsoftware mit dem Einsatz von Large Language Models (LLMs), um Skripte und Angriffskomponenten schneller zu erstellen und damit operative Hürden im Angriffsbetrieb zu senken.
Technisch beschreibt der Ansatz eine Art „Angriffspipeline“, in der mehrere Werkzeuge zusammenarbeiten. Breeze Comet nutzt den Angaben zufolge ein breites Spektrum an Schadsoftware, darunter COBALTSPIN, MILDFROST, KICKPLATE, BOATBEAM und XWORM. Ergänzend kommen maßgeschneiderte Tools wie REALBREEZE und LIGHTPAINT zum Einsatz, die offenbar nicht nur einzelne Schritte automatisieren, sondern auch an den jeweiligen Zielumgebungen ausgerichtet werden können. Ein weiteres Detail ist die Malware-Verteilung: Die Gruppe soll häufig über zuvor kompromittierte Websites verteilen. Das erhöht die Wahrscheinlichkeit, dass Opfer die Infektion nicht als gezieltes „Dropper“-Szenario erkennen, sondern sie als Folge eines normalen Besuchs eines legitimen Webauftritts fehlinterpretieren.
Im Zentrum der wirtschaftlichen Wirkung steht laut Berichten die Manipulation etablierter Zahlungswege. Breeze Comet soll zentrale Systeme wie Pix, STR und Boleto beeinflussen, um unberechtigte Überweisungen einzuleiten und Gelder zu entwenden. Entscheidend ist dabei, dass die Gruppe zusätzlich gezielt nach mTLS-Zugangsdaten (Mutual Transport Layer Security) sucht. Solche Anmeldedaten sind für die gegenseitige Authentifizierung in dienstübergreifenden Kommunikationsketten besonders relevant, etwa wenn Systeme im Zahlungs-Backend sicher miteinander sprechen müssen. Gerade weil mTLS auf „gegenseitigem Vertrauen“ zwischen Endpunkten basiert, kann der Verlust solcher Credentials weitreichend sein: Ein Angreifer, der den Authentifizierungsmechanismus umgehen oder nachbauen kann, erhält unter Umständen die Möglichkeit, Transaktionen so zu initiieren, als stamme die Anfrage aus einer legitimen Kommunikationsbeziehung.
Die operativen Abläufe wirken dabei stark auf Tempo ausgelegt. Sobald sich die Angreifer Zugang zu den Systemen eines Unternehmens verschafft haben, sollen betrügerische Transaktionen oft innerhalb eines Zeitfensters von nur 24 bis 48 Stunden nach dem ersten Eindringen abgeschlossen werden. Diese geringe „Time-to-Impact“ ist für die Verteidigung besonders kritisch, weil viele Organisationen zwar Logdaten sammeln, jedoch interne Freigabeprozesse, Incident-Workflows und das manuelle Prüfen von Transaktionsmustern zu langsam werden können. In der Praxis heißt das: Selbst wenn auffällige Muster erkennbar wären, müssen Überwachung, Korrelation und Reaktion so eng getaktet sein, dass in diesem engen Zeitfenster ein wirksames Containment möglich ist. Genau hier kann KI in der Abwehr eine doppelte Rolle spielen: Sie hilft zwar Angreifern beim Generieren von Skripten, kann aber ebenso dabei unterstützen, Anomalien in Authentifizierungsereignissen, Session-Übergängen und Zahlungsanfragen früher zu erkennen.
Für die Einordnung der Bedrohung ist auch die zeitliche Entwicklung relevant. Laut Angaben lässt sich das Aktivitätsprofil bis ins Jahr 2024 zurückverfolgen, und im Laufe des Jahres 2025 soll die Gruppe ihr Repertoire erweitert haben. Besonders bemerkenswert ist die erste dokumentierte Durchführung physischer Angriffe auf Hardware-Komponenten im Rahmen der operativen Ausweitung. Das deutet darauf hin, dass Breeze Comet nicht nur „rein digital“ arbeitet, sondern bei Bedarf auch auf Infrastrukturebene zusätzliche Persistenz oder Umgehungswege sucht. Gleichzeitig berichten Analysten über Überschneidungen in der Methodik zwischen Breeze Comet und anderen Bedrohungsakteuren wie Plump Spider sowie der Gruppierung SHADOW-AETHER-064. Solche Überschneidungen sprechen meist für wiederverwendbare Techniken, gemeinsame Vorgehensweisen oder zumindest für ein ähnliches Reife- und Professionalisierungsniveau innerhalb der Szene.
Finanziell wird die Lage als erheblich beschrieben. Berichten zufolge belaufen sich die Verluste insgesamt auf Millionenbeträge; in mindestens einem dokumentierten Einzelfall soll ein Betrag von mehreren zehntausend US-Dollar entwendet worden sein. Für Unternehmen ergibt sich daraus ein klarer Handlungsdruck, weil die Ziele in den beschriebenen Zahlungswegen nicht „irgendein Randprozess“ sind, sondern Kernkomponenten des Tagesgeschäfts. Wer auf Pix-Workflows, STR-Integrationen oder Boleto-Prozesse angewiesen ist, muss deshalb besonders die Kette rund um Authentifizierung und Autorisierung robust gestalten: Dazu gehört, mTLS-Credentials streng zu verwalten, Zugriffe zu segmentieren und die Aktivität von Service-Accounts sowie Zertifikatsnutzung eng zu überwachen. Ebenso wichtig ist eine schnelle Abschalt- oder Sperrstrategie, wenn bei Transaktionen ein Muster auftaucht, das zeitlich und logisch nicht zum normalen Geschäftsbetrieb passt.
Auch Markt- und Branchenkontext spielen hier eine Rolle. Berichte nennen als Schwerpunkte Finanzdienstleister, Einzelhandel und E-Commerce-Unternehmen. Genau diese Segmente haben einerseits hohe Zahlungsfrequenzen und andererseits oft komplexe Integrationslandschaften mit vielen Dienstleistern und Systemkopplungen. Dadurch entstehen Angriffsflächen, in denen sich ein kompromittierter Endpunkt über mehrere Schritte hinweg in den Zahlungsfluss „durchreichen“ kann. Dass die Gruppe ihre Angriffe offenbar mit LLM-gestützter Skripterstellung effizienter gestaltet, ist dabei weniger ein Marketing-Detail als eine operative Vereinfachung: Skripte lassen sich schneller anpassen, Fehlerquoten sinken, und Anpassungen an neue Umgebungen können schneller iteriert werden. Unternehmen sollten diese Entwicklung daher nicht nur als Cyberkriminalität „mit KI“ betrachten, sondern als Hinweis darauf, dass Angriffszyklen immer stärker automatisiert und beschleunigt werden.
Für Entscheider steht am Ende weniger die Frage im Vordergrund, ob eine Gruppe KI nutzt, sondern wie schnell sich ein Angriff vom ersten Eindringen zur manipulativen Transaktion vorwärts bewegen kann. Die genannten 24 bis 48 Stunden nach dem ersten Zugriff sind ein Zeitmaß, das Incident Response und Security Operations in der Praxis neu justifizieren kann: Erkennungsregeln müssen nicht nur „spät auffällige Indicators“ markieren, sondern frühe Vorläufer wie ungewöhnliche Zugriffe auf Authentifizierungsmechanismen, Zertifikatsanomalien oder ungewöhnliche Anforderungen an Zahlungs-APIs priorisieren. Wer diese Signale mit Transaktionsmonitoring und einem klaren Runbook verknüpft, reduziert die Wahrscheinlichkeit, dass aus einer kompromittierten Web-Quelle oder einem gestohlenen mTLS-Token unmittelbar finanzieller Schaden wird. Gleichzeitig hilft das Einüben solcher Abläufe, damit Teams bei einem echten Vorfall nicht erst in der Theorie klären müssen, welche Systeme zuerst herunterzufahren oder zu isolieren sind.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Hackergruppe Breeze Comet nutzt KI für Angriffe auf brasilianische Zahlungswege" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Hackergruppe Breeze Comet nutzt KI für Angriffe auf brasilianische Zahlungswege" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Hackergruppe Breeze Comet nutzt KI für Angriffe auf brasilianische Zahlungswege« bei Google Deutschland suchen, bei Bing oder Google News!