Por Raphael Satter e AJ Vicens e Anirban Sen
WASHINGTON, 6 Ago (Reuters) - Hackers que exigem resgate e utilizam ligações telefônicas para comprometer suas vítimas atacaram dezenas de instituições financeiras de destaque dos Estados Unidos e outras empresas no mês passado, mostraram dados do Google e informações de inteligência sobre a internet analisados pela Reuters.
Os dados mostram que os hackers criaram sites destinados a roubar senhas de funcionários de gestoras de private equity e de empresas como Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group e Moody’s, além de diversas companhias financeiras e outras organizações.
A empresa de tecnologia Google afirmou, em uma publicação no blog sobre a campanha de invasões divulgada nesta quinta-feira, que os hackers atuam sob vários nomes, incluindo Redact, Pink, Falcon e Helix.
O Google preferiu não comentar os achados da Reuters. Seu blog informou que, em alguns casos, empresas — cujos nomes não foram divulgados — pagaram resgates aos hackers. A Reuters não conseguiu identificar quais empresas foram comprometidas pelos hackers.
Especialistas afirmam que o uso de táticas de baixa tecnologia pelos hackers, como ligações telefônicas para atingir o setor financeiro, ilustra como -- apesar dos sofisticados programas de segurança e das ameaças baseadas em IA -- as táticas mais antigas ainda estão entre as mais eficazes. Se bem-sucedidos, os ataques podem comprometer dados de algumas das maiores empresas de private equity dos EUA que fornecem capital a outras empresas.
"Como a cerca agora é tão sofisticada e de alta tecnologia, só precisamos enganar o guarda para que ele abra a porta para nós", disse Lee Clark, gerente de produção de inteligência contra ameaças cibernéticas do Retail and Hospitality ISAC, grupo de compartilhamento e análise de informações do setor.
“Esse elemento humano é, consistentemente, a razão pela qual isso explodiu da maneira que explodiu”, disse ele.
A KKR, a Bain Capital, a CME, a TPG e a Apollo se recusaram a comentar. A Blackstone, a Bridgewater Associates e a Moody’s não responderam imediatamente a pedidos de comentário.
HACKERS MUDAM O FOCO
Em uma postagem no blog, o Google -- uma unidade da Alphabet -- afirmou que os hackers recentemente voltaram sua atenção para fundos de private equity, escritórios de advocacia e agências de classificação de risco.
Austin Larsen, analista-chefe de ameaças do Grupo de Inteligência de Ameaças do Google, disse que os hackers geralmente visam setores com base em cálculos financeiros, muitas vezes com sucesso.
"Na verdade, é uma questão de dinheiro", disse Larsen. "Eles acreditam que essas empresas ou organizações possuem dados sensíveis o suficiente para que, caso sejam roubados, paguem para evitar isso."
O Google não identificou nenhum dos alvos dos hackers pelo nome. A Reuters fez a engenharia reversa de muitas das armadilhas online específicas para cada empresa utilizadas pelos hackers, analisando os 72 sites maliciosos listados pelo Google em seu relatório por meio de plataformas de inteligência da web, como DomainTools e urlscan, que sinalizaram subdomínios maliciosos criados sob medida para cada empresa.
Falando de maneira geral sobre os subdomínios, Larsen disse que "todos eles provavelmente foram usados em tentativas de invasão", embora tenha alertado que "nem todas foram bem-sucedidas".
Segundo o Google, os hackers utilizaram “táticas meticulosas de engenharia social”, entrando em contato com funcionários em seus celulares pessoais fingindo ligar do suporte técnico da empresa, às vezes exibindo o número de telefone correto do suporte.
Os hackers diziam às vítimas que havia uma orientação urgente do departamento de TI para atualizar suas senhas ou autenticação multifatorial e direcionavam os funcionários para um site com armadilhas com nomes de domínio como “passkeyhelpdesk” ou “secure-passkey”.
Se um funcionário seguisse as instruções para digitar sua senha, os hackers coletavam seu código de segurança -- normalmente enviado por mensagem de texto ou gerado por um aplicativo -- ao vivo pelo telefone e sequestravam sua conta antes que a ligação fosse encerrada.
Para Larsen, considerar essa tática como particularmente avançada não condiz com a realidade.
"Sofisticada não é a palavra certa", disse ele. "É simplesmente muito eficaz."
PSEUDÔNIMOS
A Reuters não conseguiu entrar em contato com os hackers. O grupo Redact -- antes conhecido como Darkfiles -- afirmou em seu site na darknet que seus hackers "não têm motivação política ou moral" e que "no momento não estão respondendo a perguntas da imprensa".
Larsen disse que não está claro quem são os hackers nem a relação entre eles. Embora usem nomes diferentes, ele afirmou que pareciam estar ligados por uma infraestrutura comum.
"Ainda há algumas incógnitas aqui", afirmou.
As tentativas de invasão, algumas das quais já haviam sido noticiadas anteriormente pela Bloomberg, causaram comoção em Wall Street.
Por exemplo, a Point72 Asset Management informou aos investidores na quarta-feira que havia sido alvo de hackers, de acordo com uma fonte a par do assunto.
Essa fonte -- e uma segunda fonte -- afirmaram que os hackers também tentaram invadir outros fundos de hedge, incluindo a Two Sigma Investments e a Citadel, cujos nomes também constavam nos dados analisados pela Reuters.
A Two Sigma e a Point72 não responderam às mensagens solicitando comentários. A Citadel preferiu não comentar.
Várias outras empresas estavam na mira dos hackers antes de eles voltarem sua atenção para instituições financeiras, de acordo com a postagem no blog do Google e os dados.
Os dados mostram que os cibercriminosos criaram armadilhas digitais para mais de 200 empresas somente nas últimas cinco semanas, incluindo a empresa de transporte Uber , a corretora online Zillow e a marca de jeans Levi Strauss , além de escritórios de advocacia, incluindo Paul Hastings e Greenberg Traurig.
A Uber, a Zillow, a Paul Hastings e a Levi Strauss não responderam imediatamente às solicitações de comentário. Em comunicado, a Greenberg Traurig afirmou que "não houve violação de dados, dadas as camadas de protocolos de segurança que mantemos para proteger os dados dos clientes e da empresa". O escritório não forneceu detalhes.
(Reportagem de Raphael Satter, AJ Vicens e Anirban Sen)
Aviso