O ransomware já não se limita a criptografar redes e exigir um resgate. Segundo informa o EscudoDigital, está aumentando o número de pesquisadores e funcionários de empresas afetadas por ransomware que recebem pacotes intimidatórios na porta de sua residência. As ameaças físicas a funcionários por ransomware transferem a pressão do servidor para a sala de casa, e convertem algo tão cotidiano como um endereço postal em um dado sensível.
O artigo original é breve e não detalha o conteúdo dos pacotes nem quais grupos estão por trás. Por isso aqui nos concentramos no que se sabe e nas medidas práticas que qualquer pessoa pode tomar, trabalhe ou não em cibersegurança.
Como a extorsão por ransomware chega até a porta de casa
A lógica da extorsão é simples: quanto mais pressão sofre uma vítima, mais provável é que pague. Durante anos essa pressão foi digital: arquivos criptografados, ameaças de publicar dados, ligações a clientes. O envio de pacotes intimidatórios acrescenta uma camada diferente, porque busca assustar pessoas concretas e não apenas uma organização.
Segundo as informações publicadas, os destinatários incluem tanto pesquisadores que acompanham esses grupos como funcionários de empresas que sofreram um ataque. Isso significa que não é preciso ser um especialista em ameaças para estar na mira: basta trabalhar na empresa errada no momento errado.
O objetivo dessas táticas costuma ser a intimidação. Uma mensagem que chega ao domicílio transmite que o atacante sabe onde você mora, e essa sensação é parte da pressão.
Como os atacantes encontram um endereço de casa
A fonte não explica como obtêm os endereços, então convém falar em termos gerais. Um endereço pessoal raramente é um segredo bem guardado. Pode aparecer em vários lugares:
- Fichas de intermediários de dados (data brokers), que coletam e vendem perfis com nome, endereço e telefone.
- Registros públicos, como os de propriedades ou de constituição de empresas, dependendo do país.
- Perfis sociais e profissionais, com cidade, empregador, fotos do bairro ou publicações geolocalizadas.
- Vazamentos anteriores, onde dados pessoais de outros incidentes continuam circulando.
- Dados internos da empresa atacada, se os invasores tiveram acesso a arquivos de pessoal.
Este último ponto é relevante. Quando os atacantes passam tempo dentro de uma rede, podem ver muito mais do que os sistemas. No caso de uma PME mexicana que passou três meses com atacantes escondidos em sua rede antes de perceber, fica claro quanto tempo pode haver entre a intrusão e o momento em que começa a extorsão.
Reduzir sua exposição: data brokers, registros públicos e perfis sociais
Não existe anonimato total, mas é possível dificultar muito que alguém te localize. Um bom ponto de partida:
- Busque seu nome. Tente com seu nome e sobrenomes, seu telefone e seu endereço em buscadores e em diretórios de pessoas. Anote onde aparece seu domicílio.
- Solicite a exclusão nos intermediários de dados. Muitos oferecem formulários de exclusão. É um processo tedioso e os dados podem reaparecer, então convém repeti-lo periodicamente.
- Revise os registros públicos. Se seu endereço figura em algum, verifique se existe a opção de usar um endereço alternativo, como o de uma caixa postal ou o de um domicílio profissional.
- Limpe seus perfis. Remova cidade, bairro, fotos com referências reconhecíveis da sua casa e publicações com localização em tempo real. Limite quem pode ver suas publicações.
- Separe o pessoal do profissional. Use um e-mail e um telefone diferentes para registros e compras, e evite vincular sua identidade profissional à sua vida privada.
- Pergunte à sua empresa. Se você trabalha em segurança ou em uma organização que sofreu um ataque, consulte quais dados pessoais seus estão em sistemas internos e quem tem acesso.
O que fazer se você receber um pacote ameaçador
Se chegar um envio suspeito ou intimidatório, a prioridade é sua segurança:
- Não o abra se não esperava o pacote ou se ele gera dúvidas, e mantenha-o longe de outras pessoas, especialmente crianças e animais de estimação.
- Avise as autoridades e siga suas orientações. Uma ameaça física é um assunto policial, não apenas informático.
- Informe sua empresa, sua equipe de segurança e o responsável pela resposta a incidentes, para que avaliem o risco para outros colegas.
- Documente tudo: fotografias do pacote, do remetente, da etiqueta e de qualquer mensagem associada, sem manipular o conteúdo.
- Revise seu ambiente digital: troque senhas importantes, ative a autenticação em dois fatores e verifique se seus dados apareceram em novas listagens.
- Converse com sua família sobre o que fazer diante de envios estranhos ou visitas inesperadas.
O que isso significa para você
Se você trabalha em cibersegurança, seu endereço faz parte da sua superfície de risco, assim como um servidor exposto. Se você trabalha em qualquer outra empresa, a lição é parecida: uma brecha corporativa pode acabar afetando sua vida privada. A boa notícia é que a maioria das medidas é gratuita e está ao seu alcance: limitar o que você publica, pedir a exclusão de listagens e saber com antecedência a quem ligar.
Conclusão e próximos passos
As ameaças físicas a funcionários por ransomware mostram que a extorsão digital pode cruzar a tela. Não há motivo para pânico, mas sim para preparação. Esta semana, dedique meia hora a auditar sua própria exposição: busque seu nome, localize seu endereço em diretórios e peça a exclusão, e revise a visibilidade dos seus perfis públicos. Depois, reveja o caso da PME mexicana atacada durante três meses para entender quanto tempo os atacantes podem permanecer em uma rede antes que a extorsão comece. Quanto menos dados seus estiverem ao alcance de qualquer um, menos úteis serão para quem tentar te intimidar.
