Hackers que buscam resgates e utilizam chamadas telefônicas para comprometer suas vítimas visaram dezenas de instituições financeiras e outras empresas importantes dos EUA no último mês, segundo dados do Google e de inteligência de internet analisados pela Reuters.
Os dados mostram que os hackers criaram sites destinados a roubar senhas de funcionários de empresas de private equity e companhias como Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group e Moody's, além de diversas outras empresas financeiras e de outros setores.
O Google informou, em uma publicação de blog sobre a campanha de invasão divulgada nesta quinta-feira (6), que os hackers operam sob vários nomes, incluindo Redact, Pink, Falcon e Helix.
O Google não quis comentar as descobertas da Reuters.
Leia também: Entidade acusa dona do Facebook de lucrar com anúncios falsos do Desenrola Brasil e pede investigação
A empresa afirmou que, em alguns casos, companhias não identificadas pagaram resgates aos hackers.
A Reuters não conseguiu determinar quais empresas foram efetivamente comprometidas pelos hackers.
Especialistas afirmam que o uso de táticas de baixa tecnologia — como chamadas telefônicas — pelos hackers para atacar o setor financeiro ilustra como, apesar de programas de segurança sofisticados e ameaças impulsionadas por IA, as táticas mais antigas ainda estão entre as mais eficazes.
Se bem-sucedidas, as invasões poderiam comprometer dados de algumas das maiores empresas americanas de private equity que fornecem capital a outras companhias.
"Como a cerca agora é tão sofisticada e de alta tecnologia, basta enganarmos o guarda para que ele abra a porta para nós", disse Lee Clark, gerente de produção de inteligência de ameaças cibernéticas do Retail and Hospitality ISAC, um grupo do setor voltado para o compartilhamento e análise de informações.
"Esse elemento humano é, consistentemente, a razão pela qual isso cresceu de forma tão explosiva", afirmou ele.
KKR, Bain Capital, CME, TPG e Apollo não quiseram comentar.
A Blackstone, a Bridgewater Associates e a Moody''s não responderam imediatamente a pedidos de comentário.
Em uma publicação no blog, o Google, controlado pela Alphabet, informou que os hackers haviam voltado sua atenção recentemente para empresas de private equity, escritórios de advocacia e agências de classificação de risco financeiro.
Austin Larsen, analista do Grupo de Inteligência de Ameaças do Google, disse que os hackers geralmente escolhem seus alvos com base em cálculos financeiros, muitas vezes obtendo sucesso.
"No fundo, é uma questão de dinheiro", disse Larsen.
"Eles acreditam que essas empresas ou organizações possuem dados suficientemente sensíveis para que, caso sejam roubados, elas paguem para evitar a exposição."
O Google não identificou nominalmente nenhum dos alvos dos hackers.
A Reuters realizou uma engenharia reversa em muitas das armadilhas online personalizadas para empresas usadas pelos hackers, analisando os 72 sites maliciosos listados no relatório em plataformas de inteligência web como DomainTools e urlscan.
Essas ferramentas identificaram subdomínios maliciosos criados especificamente para cada empresa.
Ao falar de forma geral sobre os subdomínios, Larsen disse que "todos provavelmente foram usados em tentativas de invasão", embora tenha ressalvado que "nem todas foram bem-sucedidas".
O Google afirmou que os hackers utilizaram "táticas meticulosas de engenharia social", contatando funcionários em seus celulares pessoais e fingindo ligar do suporte técnico da empresa — chegando, por vezes, a exibir o número de telefone correto do suporte.
Os hackers informavam aos alvos que havia uma diretriz urgente da TI para atualizar suas chaves de acesso ou a autenticação multifator, direcionando os funcionários para sites maliciosos com nomes como "passkeyhelpdesk" ou "secure-passkey".
Se um funcionário seguisse as instruções e inserisse sua senha, os hackers capturavam o código de segurança adicional — geralmente enviado por SMS ou gerado por aplicativo — durante a própria ligação e assumiam o controle da conta antes mesmo de a chamada ser encerrada.
Larsen afirmou que é um erro considerar essa tática particularmente avançada.
"Sofisticado não é a palavra certa", disse ele.
"É apenas muito eficaz."