Investigadores federais que perseguem o grupo de hackers ShinyHunters, que recentemente roubou informações extremamente sensíveis do FBI, teriam identificado executivos ligados ao caso. De acordo com um relatório publicado originalmente pelo Krebs on Security, os investigadores suspeitam que um negociador de resgates administrava o site de extorsão do ShinyHunters. Se isso se confirmar, colocará holofotes sobre uma parte da economia do cibercrime que a maioria das pessoas nunca vê.
Os detalhes disponíveis até agora são limitados, e nada aqui equivale a uma conclusão comprovada. Esta publicação se atém ao que foi reportado e explica o que isso pode significar para qualquer pessoa cujos dados estejam em um banco de dados corporativo.
O que os investigadores alegam sobre o site de extorsão do ShinyHunters
A reportagem diz que investigadores federais dos EUA, que perseguem o ShinyHunters após o grupo roubar dados altamente sensíveis do FBI, agora suspeitam que uma pessoa que atuava como negociadora de resgates estava por trás do site de extorsão do grupo. O resumo também afirma que os investigadores identificaram executivos, embora o texto disponível não especifique quais empresas ou pessoas estão envolvidas.
Como o material de origem é breve, várias questões permanecem em aberto: se haverá acusações, como o suposto vínculo foi estabelecido e qual papel qualquer empresa desempenhou. Suspeita não é condenação, e os leitores devem tratar a alegação como uma acusação até que as autoridades se manifestem mais.
O que torna a história notável é a possível sobreposição de papéis. Um negociador normalmente é contratado por uma vítima para lidar com os atacantes. Um negociador que também administra a campanha de pressão estaria dos dois lados da mesa.
Como funciona a extorsão no estilo ShinyHunters
Grupos dessa categoria normalmente se concentram em roubar dados, e não apenas em bloquear sistemas. O padrão básico é direto:
- Os atacantes obtêm acesso aos sistemas ou contas de uma empresa e copiam dados sensíveis.
- Eles contatam a vítima com uma exigência, muitas vezes com um prazo.
- Um site de extorsão é usado para nomear vítimas, mostrar provas do roubo e ameaçar a publicação.
- Se a vítima não pagar, os registros roubados podem ser vazados ou vendidos.
O site de vazamentos é a ferramenta de pressão. Listagens públicas criam risco reputacional, alertam clientes e reguladores e pressionam executivos a tomar uma decisão rápida. É por isso que a identidade de quem opera esse site importa tanto para os investigadores: é a porta de entrada de toda a operação.
Por que negociadores de resgates e intermediários estão sob escrutínio
Negociadores e empresas de recuperação existem porque muitas organizações não têm experiência para lidar com criminosos. Eles orientam sobre preços, verificam se os dados roubados são reais e às vezes lidam com o pagamento. Esse acesso a informações sensíveis e essa confiança criam um risco claro de conflito de interesses se um intermediário lucrar com o próprio crime que foi contratado para resolver.
Essa preocupação não é puramente teórica. Nossa cobertura sobre o proprietário da MonsterCloud acusado de um esquema de cobrança de resgate de US$ 19 milhões descreve alegações de que uma empresa de recuperação cobrou das vítimas muito mais do que pagou secretamente aos atacantes. O caso ShinyHunters é diferente em seus detalhes e permanece não comprovado, mas ambas as histórias levantam a mesma questão: quanto uma vítima deve confiar nas pessoas que contrata em uma crise?
O que isso significa para você
A maioria das pessoas nunca negociará com um grupo de extorsão. Mas você pode ser cliente, paciente, funcionário ou titular de conta de uma empresa que negocie. A lição prática é presumir que, uma vez que seus dados estejam em poder de um terceiro, eles podem eventualmente ser expostos, quer a empresa pague ou não.
Pagar um resgate não garante a exclusão. Dados roubados podem ser copiados, revendidos ou vazados posteriormente. A mentalidade mais segura é limitar o que qualquer violação individual pode fazer contra você.
Detalhes de contato e registros de pedidos vazados são comumente usados para golpes direcionados. Nosso artigo sobre a violação de dados da Asus eShop e o risco de phishing mostra como até uma violação sem dados de pagamento pode levar a mensagens de phishing convincentes.
Como reduzir sua exposição quando uma empresa é violada
Você não pode controlar como uma empresa protege seus registros, mas pode reduzir o dano:
- Use um gerenciador de senhas. Senhas únicas para cada conta significam que um vazamento não desbloqueia as outras.
- Ative a autenticação multifator. Prefira métodos baseados em aplicativo ou hardware em vez de SMS quando possível.
- Ative o monitoramento de violações. Alertas informam quando seu e-mail ou credenciais aparecem em dados vazados para que você possa agir rapidamente.
- Compartilhe menos dados. Forneça aos serviços apenas o que eles realmente precisam e use endereços de e-mail separados para finalidades diferentes.
- Desconfie de mensagens inesperadas. Após qualquer aviso de violação, trate e-mails, mensagens de texto e ligações que mencionem sua conta com cautela e vá diretamente ao site oficial em vez de clicar em links.
Principais conclusões
A suspeita de que um negociador de resgates administrava o site de extorsão do ShinyHunters é uma alegação, e mais detalhes serão importantes. Ainda assim, ela sublinha um ponto duradouro: a extorsão por roubo de dados prospera com pressão, e as pessoas no meio nem sempre são neutras. Proteja-se reforçando suas senhas, ativando MFA, ficando atento a alertas de violações e entregando o mínimo possível de dados pessoais. Para saber mais sobre o que acontece após um vazamento, leia sobre o risco de phishing da Asus eShop e as alegações de cobrança da MonsterCloud.
