Google alerta: hackers ligam para funcionários de firmas financeiras para invadir e extorquir

Mesmo na era dos ataques cibernéticos autônomos com IA, técnicas antigas de enganar vítimas seguem dando resultado. É o que aponta um relatório publicado pelo Google na quinta-feira, segundo apuração do TechCrunch.

De acordo com os pesquisadores de segurança da empresa, grupos de hackers ainda não identificados estão invadindo grandes firmas financeiras e de investimento nos Estados Unidos com o objetivo de roubar dados sensíveis e extorquir as vítimas sob ameaça de vazamento. O Google não nomeou os alvos, mas a Reuters, citada pelo TechCrunch, apontou entre eles firmas de private equity de peso como Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's e TPG.

Como o golpe funciona

A técnica é o que a indústria chama de voice phishing, ou vishing. Segundo o relatório, os invasores ligam para os celulares pessoais dos funcionários se passando por colegas de trabalho ou por atendentes do suporte de TI. Durante a conversa, tentam convencer a vítima a digitar suas credenciais e os códigos de autenticação multifator (MFA) em sites falsos, clonados para parecerem legítimos.

Com o acesso obtido, alguns dos grupos mantêm sites onde divulgam suas invasões e ameaçam vazar os dados roubados como forma de pressionar por resgate. Um dos textos publicados nesses sites, reproduzido pelo TechCrunch, diz: "Conduzimos toda negociação em termos profissionais. A publicação dos seus dados nunca é nossa resolução preferida; é a consequência da recusa em dialogar, da protelação deliberada ou do descumprimento de um acordo."

Quem são os grupos

O Google atribuiu apelidos aos grupos: Falcon, Helix, Pink e Redact. A empresa avalia que todos podem fazer parte de um coletivo maior, rastreado sob o nome UNC6671, mas não está claro se são afiliados, dissidências ou apenas usuários da mesma infraestrutura de Phishing-as-a-Service.

"Acreditamos que isso provavelmente reflete um grupo coordenado de atores de ameaça operando múltiplas marcas públicas de extorsão, possivelmente num esforço para compartimentar operações, esconder o volume total de invasões e isolar qualquer repercussão de negociação", diz o relatório citado pelo TechCrunch.

Segundo o Google, os mesmos grupos já haviam mirado grandes empresas dos setores de manufatura, imobiliário, saúde e seguros, além de companhias de tecnologia, transporte e hospitalidade, buscando propriedade intelectual valiosa, código-fonte de software ou dados sensíveis de clientes VIP. Recentemente, o foco migrou para organizações jurídicas e financeiras, como firmas de private equity envolvidas em fusões, aquisições, alocação de capital e litígios, alvos com dados de alto valor para maximizar as demandas de extorsão.

O impacto financeiro é considerável: o Google afirma que uma carteira de criptomoedas ligada a um dos grupos recebeu cerca de US$ 10 milhões em bitcoin nos primeiros meses deste ano, com pedidos de resgate que variam de US$ 750 mil a US$ 3 milhões por vítima.

O que muda para quem constrói software no Brasil

Ainda que os alvos citados sejam firmas norte-americanas, a tática descrita não depende de fronteira. Vishing e engenharia social por telefone são vetores que atingem qualquer empresa com colaboradores acessíveis por celular, incluindo fintechs, bancos digitais e empresas de tecnologia brasileiras que lidam com dados financeiros e MFA no dia a dia.

Para times de engenharia e segurança, o relatório reforça alguns pontos práticos:

• MFA não é bala de prata. Se o código pode ser digitado num site falso, ele pode ser interceptado. Vale avaliar métodos resistentes a phishing, como chaves de segurança físicas (FIDO2/WebAuthn) e passkeys, que não transmitem um código digitável.
• O suporte de TI é um vetor de personificação. Processos de verificação de identidade para pedidos de reset de senha ou MFA precisam ser à prova de quem liga fingindo ser funcionário ou helpdesk.
• Treinamento contra engenharia social continua relevante, mesmo com o hype em torno de ataques automatizados por IA. O elo humano segue sendo o mais explorado.

Procuradas pelo TechCrunch, a CME Group não comentou, e Apollo, Bain Capital, Blackstone, Bridgewater, KKR, Moody's e TPG não responderam.

Fonte: TechCrunch