Relatório de (in)segurança: Vovó Cracker, Golpe do Falso Suporte Técnico, Corrida do Ouro das Credenciais
08.07.2025
VoltarNesta edição de julho, destacamos chantagistas africanos persistentes, um ataque de ransomware que apagou um século de história, um incidente apelidado de “o maior vazamento da história” e muito mais.
Uma chance, uma oportunidade
O que aconteceu: Um cracker acessou os dados de quase 300.000 texanos por meio de uma conta comprometida.
Como aconteceu: Em maio, o Departamento de Transportes do Texas detectou atividade suspeita em um de seus sistemas. Uma investigação revelou que um desconhecido havia acessado a conta de um funcionário e a usou para baixar quase 300.000 relatórios de acidentes, que continham nomes, endereços, detalhes de apólices de seguro, números de carteira de motorista e informações de veículos.
Em 6 de junho, a agência reconheceu a invasão, confirmou que bloqueou a conta comprometida e avisou os afetados. Também começou a implementar medidas de segurança adicionais para evitar incidentes semelhantes no futuro. Embora o departamento não tenha divulgado exatamente como o atacante conseguiu acesso, fica claro que uma única vulnerabilidade pode colocar toda a organização e seus clientes em risco. Além disso, dados pessoais roubados não podem ser protegidos apenas mudando senhas – uma vez vazados, essas informações permanecem vulneráveis.
Já tentou reiniciar?
O que aconteceu: Cibercriminosos roubaram dados de 20 empresas sob o disfarce de suporte técnico.
Como aconteceu: Em 5 de junho, pesquisadores do Google divulgaram um artigo sobre os métodos do grupo hacker UNC6040. Segundo o The Register, os criminosos obtiveram dados de aproximadamente 20 grandes organizações transnacionais, incluindo a Coca-Cola European Pacific Partners.
O modus operandi do UNC6040 envolve ataques de engenharia social e voice phishing, onde os fraudadores ligam para especialistas de TI e se passam por funcionários de suporte de um fornecedor americano de CRM, o Salesforce. Sob vários pretextos, tentam obter credenciais e um código especial da página de configuração do CRM. Esse código permite que os atacantes conectem o Data Loader, um aplicativo usado para importar, exportar e atualizar dados no Salesforce, que então é explorado para roubar informações.
Os criminosos aproveitam as credenciais roubadas para ampliar seus ataques, acessando outras plataformas de nuvem como Okta e Microsoft 365. A pesquisa do Google busca alertar os usuários do Salesforce sobre essas ameaças, incentivando a vigilância. A prática mostra que as divulgações de alto nível raramente detêm os golpistas por muito tempo; sempre haverá indivíduos, comuns ou não, que caem nesses truques. Portanto, é fundamental educar continuamente as equipes de trabalho sobre ameaças emergentes e reforçar regularmente os protocolos de segurança da informação por meio de treinamentos contínuos, tanto teóricos quanto práticos, para mitigar esses riscos.
Duas vezes no rio
O que aconteceu: Funcionários instalaram uma porta dos fundos na rede da empresa e tentaram extorqui-la duas vezes.
Como aconteceu: Em 2023, Lucky Erasmus e Felix Pupu, funcionários da fintech sul-africana Ecentric, instalaram um software de acesso remoto nos sistemas da empresa onde trabalhavam.
Isso lhes permitiu roubar documentos corporativos e exigir um resgate de US$ 534.000 para evitar que os dados fossem divulgados a concorrentes e aos órgãos reguladores. A empresa recusou-se a atender às exigências de extorsão. Insatisfeitos, Erasmus e Pupu tentaram novamente, aumentando o valor do resgate para US$ 1 milhão. No entanto, suas ações deram errado, levando à prisão deles ao invés do pagamento.
O julgamento dos funcionários foi concluído recentemente, revelando que o roubo de dados também afetou clientes da Ecentric, com quatro deles perdendo quase US$ 800.000. Isso agravou ainda mais a situação, levando Erasmus a ser condenado a oito anos de prisão, enquanto Pupu ainda aguarda sua sentença.
Novela
O que aconteceu: Uma contadora roubou US$ 800 mil de uma igreja e de outras três organizações por meio de ataques de BEC.
Como aconteceu: Margo Williams, uma contadora de 63 anos e professora de negócios em tempo parcial, roubou e lavou quase US$ 800 mil. Williams foi condenada a quatro anos de prisão em 2024, e detalhes do caso recentemente vieram à tona online.
Ela visava empresas no momento de pagar faturas, enviando e-mails que pareciam ser de contatos confiáveis, instruindo os destinatários a alterar detalhes bancários. Quatro empresas caíram nesse golpe entre dezembro de 2022 e julho de 2023, incluindo a Cedar Rapids Church, que transferiu mais de US$ 466 mil após receber um e-mail fraudulento supostamente do arquiteto do projeto.
O julgamento tomou um rumo inesperado quando Williams afirmou que agia sob influência de um famoso ator britânico com quem tinha um relacionamento romântico, levantando dúvidas sobre se ela também foi vítima de fraudadores que usaram sua identidade para lavar dinheiro. Isso deixou em aberto a possibilidade de que ela possa ter contratado crackers ou sido manipulada a agir.
Quem procura, acha
O que aconteceu: Pesquisadores de segurança da informação descobriram dois grandes conjuntos de dados disponíveis publicamente.
Como aconteceu: Em 3 de junho, Cybernews e o pesquisador de segurança Bob Diachenko anunciaram a descoberta de um banco de dados não protegido de 631 GB contendo cerca de 4 bilhões de registros de informações de cidadãos chineses, incluindo nomes, endereços, telefones, dados financeiros e detalhes do WeChat e Alipay. O banco de dados estava hospedado online sem medidas de segurança e foi removido da rede antes que os especialistas pudessem examiná-lo completamente ou identificar seus proprietários.
No entanto, a Cybernews conseguiu acessar dezesseis conjuntos de dados; por exemplo, o conjunto wechatid_db continha mais de 800 milhões de registros relacionados a usuários do WeChat, enquanto o address_db incluía mais de 750 milhões de entradas de endereços de residentes chineses.
O segundo vazamento ficou conhecido em 18 de junho. Então, especialistas da Cybernews relataram ter encontrado 30 conjuntos de dados não protegidos, totalizando 16 bilhões de registros. Eles tinham uma estrutura clara – URL, login, senha.
Em 18 de junho, os especialistas da Cybernews divulgaram a descoberta de 30 conjuntos de dados não protegidos com 16 bilhões de registros, incluindo URLs, logins e senhas, sendo amplamente divulgado como o maior vazamento do mundo.
Mais tarde foi esclarecido que os dados consistiam principalmente em registros de ladrões de informações e vazamentos antigos, dificultando a avaliação da verdadeira escala da ameaça, embora potencialmente incluíssem detalhes de login de grandes contas como Apple, Google, Twitch e GitHub. O vazamento provavelmente foi causado por cybercriminosos ou por negligência, sendo necessária uma análise adicional para determinar o número de registros duplicados e os titulares das contas afetadas.
Caos na papelada
O que aconteceu: Crackers faliram a Fasana, uma fabricante de guardanapos com mais de um século de história, em poucas semanas.
Como aconteceu: Em 19 de maio, o dia de trabalho de 240 funcionários da fábrica Fasana começou não com um café da manhã, mas com uma mensagem de desconhecidos. De repente, todas as impressoras da fábrica imprimiram o mesmo documento – uma solicitação de resgate. A mensagem dizia que a empresa havia sido vítima de um ataque de ransomware.
Um dos funcionários contou aos jornalistas que o ataque paralisou a infraestrutura de TI da Fasana – computadores, laptops e servidores pararam de funcionar – causando uma interrupção na produção. No dia seguinte ao ataque, a empresa não conseguiu cumprir pedidos que ultrapassavam €250.000.
A direção da Fasana chamou especialistas externos de TI para restaurar os sistemas, mas após duas semanas, as perdas da empresa ultrapassaram €2 milhões, e os especialistas apenas restauraram parcialmente as operações. A empresa continuou lutando para cumprir pedidos na medida do possível e precisou atrasar salários.
Em 1º de junho, a Fasana entrou com pedido de falência e anunciou que buscava um novo comprador para o negócio. Curiosamente, poucos meses antes, em 25 de março, a empresa havia sido adquirida pela empresa Powerparc AG. Porém, a nova controladora não conseguiu oferecer proteção ou suporte financeiro à subsidiária prejudicada.
Um sistema SIEM é uma ferramenta essencial para proteger sua rede corporativa contra ameaças como crackers que causam falências, funcionários que instalam portas dos fundos e empregados que, inadvertidamente, passam dados para fraudadores. Operando continuamente em tempo real, monitora e analisa eventos de segurança em toda sua infraestrutura, alertando imediatamente os especialistas de segurança sobre possíveis brechas ou atividades suspeitas, permitindo uma resposta rápida e reduzindo o risco de danos significativos.
Você pode experimentar a funcionalidade desses sistemas e se proteger de vazamentos causados por funcionários e hackers gratuitamente por 30 dias!