Hackers em busca de resgates atacaram dezenas de grandes instituições financeiras americanas e outras empresas no último mês, segundo o Google e dados de inteligência da internet analisados pela Reuters.

A campanha utilizou 72 sites maliciosos desenvolvidos para roubar credenciais de funcionários de empresas como Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group, Clearlake Capital e Moody’s.

Os criminosos operavam com vários nomes, incluindo Redact, Pink, Falcon e Helix. Eles combinavam páginas falsas com ligações telefônicas nas quais se passavam pelos serviços de suporte de tecnologia das empresas.

A Reuters não conseguiu determinar quais tentativas foram bem-sucedidas. O Google, porém, afirmou que algumas companhias não identificadas pagaram resgates.

Empresas financeiras viram alvo prioritário

O Google informou que os hackers mudaram recentemente seu foco para empresas de private equity, escritórios de advocacia e agências de classificação de risco.

A escolha parece seguir uma lógica financeira.

Austin Larsen, principal analista de ameaças do Google Threat Intelligence Group, explicou que os criminosos normalmente selecionam setores com base no valor potencial dos dados.

Instituições financeiras administram informações sobre transações, carteiras, investidores, empresas financiadas e estratégias internas.

Os hackers podem acreditar que essas organizações pagarão rapidamente para evitar vazamentos, interrupções ou danos à reputação.

Campanha utilizou pelo menos 72 sites maliciosos

O Google publicou uma lista com 72 domínios associados aos ataques.

A Reuters analisou essas páginas por meio de serviços como DomainTools e urlscan.

A investigação permitiu identificar subdomínios personalizados para diferentes empresas.

Os sites usavam nomes criados para parecer legítimos, como “passkeyhelpdesk” e “secure-passkey”.

A intenção era convencer o funcionário de que estava acessando um portal oficial para atualizar suas credenciais de segurança.

Segundo Larsen, todos provavelmente foram usados em tentativas de invasão, embora nem todas tenham funcionado.

Funcionários recebiam chamadas em celulares pessoais

A campanha empregava uma forma direta de engenharia social.

Os criminosos telefonavam para os celulares pessoais dos funcionários e diziam trabalhar no suporte técnico da empresa.

Em algumas situações, o número exibido na chamada correspondia ao número verdadeiro do help desk.

Essa falsificação aumentava a credibilidade e tornava mais provável que a vítima seguisse as instruções.

Os hackers alegavam existir uma solicitação urgente do departamento de tecnologia para atualizar uma chave de acesso ou a autenticação multifator.

Senhas e códigos eram roubados em tempo real

Os alvos eram encaminhados para uma página falsa com aparência de portal de segurança.

Quando inseriam a senha, os hackers a capturavam imediatamente.

Em seguida, pediam o código de segurança enviado por SMS ou gerado por um aplicativo de autenticação.

O código era coletado durante a própria ligação.

Com isso, os criminosos conseguiam assumir o controle da conta antes do fim da conversa.

A autenticação multifator não era tecnicamente quebrada. Ela era contornada porque a vítima entregava o código ao invasor.

Tática simples, mas muito eficiente

O Google afirmou que o método não era especialmente sofisticado do ponto de vista técnico.

A campanha dependia mais da manipulação humana do que de uma vulnerabilidade avançada.

Larsen disse que “sofisticado” não seria a palavra correta, mas que a abordagem era extremamente eficaz.

Lee Clark, responsável por inteligência de ameaças no Retail and Hospitality ISAC, explicou que, quando a barreira se torna muito tecnológica, os criminosos podem simplesmente enganar o guarda para que ele abra a porta.

O caso mostra que investimentos em sistemas modernos não eliminam a vulnerabilidade humana.

Blackstone, Apollo, KKR e CME estavam na lista

Os dados analisados revelaram armadilhas digitais associadas a diversos nomes importantes da finança americana.

A lista inclui Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, Clearlake Capital, CME Group e Moody’s.

Essas empresas possuem posições relevantes em private equity, mercados financeiros, gestão de ativos e análise de crédito.

KKR, Bain Capital, Clearlake, CME, TPG e Apollo não quiseram comentar.

Blackstone, Bridgewater e Moody’s não responderam imediatamente.

A falta de comentário não confirma que uma invasão tenha ocorrido.

Fundos de hedge também foram visados

A campanha atingiu ainda grandes fundos de hedge.

A Point72 Asset Management informou seus investidores na quarta-feira de que havia sido alvo de hackers, segundo uma fonte próxima ao assunto.

Outras fontes disseram que Two Sigma Investments e Citadel também sofreram tentativas.

Os nomes dessas empresas apareceram nos dados analisados pela Reuters.

Point72 e Citadel não comentaram, enquanto a Two Sigma não respondeu.

Não existem informações públicas confirmando que os ataques contra esses fundos tenham sido bem-sucedidos.

Mais de 200 companhias em cinco semanas

Antes de concentrar seus esforços na área financeira, os criminosos criaram armadilhas para uma lista muito maior de empresas.

Os dados mostram que mais de 200 companhias foram alvo em apenas cinco semanas.

Entre elas estavam Uber, Zillow e Levi Strauss.

Escritórios de advocacia como Paul Hastings e Greenberg Traurig também apareceram.

Uber, Zillow, Paul Hastings e Levi Strauss não responderam.

A Greenberg Traurig afirmou não ter sofrido violação de dados por causa das várias camadas de proteção utilizadas.

Grupo utiliza identidades diferentes

Os hackers atuam com nomes como Redact, Pink, Falcon e Helix.

O grupo Redact era anteriormente chamado de Blackfile.

Em seu site na dark web, ele declarou que seus integrantes não possuem motivação política ou moral.

Também afirmou que não responderia a perguntas da imprensa.

O Google ainda não sabe exatamente quem são os criminosos nem qual a relação entre os nomes utilizados.

Larsen acredita, porém, que eles compartilham uma infraestrutura comum.

Algumas empresas pagaram resgates

O Google informou que determinadas organizações pagaram resgates aos hackers.

As vítimas não foram identificadas.

A Reuters não conseguiu descobrir quais empresas foram comprometidas ou realizaram pagamentos.

A falta de detalhes impede medir a dimensão financeira total da campanha.

Mesmo assim, os pagamentos mostram que os ataques não foram apenas tentativas sem consequência.

Em alguns casos, os criminosos conseguiram acesso ou dados suficientes para pressionar as vítimas.

Por que private equity é um alvo valioso

Empresas de private equity possuem informações sensíveis sobre várias companhias.

Elas podem acessar dados financeiros, planos de reestruturação, negociações de aquisições, listas de investidores e documentos estratégicos.

Uma invasão pode afetar não apenas a gestora, mas também os negócios de seu portfólio.

Os hackers podem exigir resgate, ameaçar publicar dados ou utilizar as informações para outros tipos de fraude.

A concentração de documentos importantes aumenta o valor potencial de uma conta comprometida.

Escritórios e agências de risco enfrentam ameaça semelhante

Escritórios de advocacia lidam com documentos confidenciais sobre disputas, transações, investigações e negociações.

Agências de classificação possuem informações financeiras detalhadas sobre empresas e emissores de dívida.

Essas organizações podem enfrentar pedidos de resgate elevados se documentos sensíveis forem roubados.

Os criminosos parecem priorizar áreas nas quais a confidencialidade possui alto valor econômico.

Isso ajuda a explicar a mudança para finanças, direito e classificação de risco.

Inteligência artificial não elimina o fator humano

A campanha ocorre enquanto empresas investem em detecção automatizada e ferramentas de cibersegurança baseadas em inteligência artificial.

Mesmo assim, os hackers utilizaram principalmente telefonemas, sites falsos e urgência.

Eles não precisaram superar diretamente sistemas técnicos complexos.

Em vez disso, convenceram funcionários a fornecer as informações necessárias.

Isso mostra que tecnologia avançada não resolve o problema quando procedimentos de suporte podem ser imitados e as pessoas não verificam a identidade do interlocutor.

Como reduzir o risco

Empresas podem proibir equipes de tecnologia de solicitar códigos de autenticação por telefone.

Funcionários também devem desligar e ligar novamente para um número oficial.

Alterações de senha e passkeys precisam ocorrer apenas em portais internos conhecidos.

Os sistemas podem exigir validações adicionais quando uma conta é usada em novo aparelho ou local.

A formação deve destacar que até uma ligação exibindo o número correto pode ser falsa.

Risco de reputação é elevado no setor financeiro

Uma invasão contra uma empresa financeira pode causar mais do que interrupção técnica.

Ela pode prejudicar a confiança de investidores, clientes, parceiros e empresas financiadas.

Até mesmo uma tentativa fracassada pode obrigar a organização a revisar contas, reforçar controles e alertar partes interessadas.

Uma empresa que paga resgate também pode virar alvo novamente caso os criminosos a considerem disposta a negociar.

A prevenção é especialmente importante para instituições que armazenam dados estratégicos.

O que deve ser acompanhado

O primeiro ponto será a identificação dos grupos por trás dos diferentes nomes.

O segundo será descobrir quais empresas foram realmente comprometidas.

Novos sites, números falsificados e domínios semelhantes precisarão ser monitorados.

As companhias também devem revisar mudanças recentes na autenticação multifator e acessos incomuns.

Por fim, a cooperação entre empresas financeiras, provedores de nuvem, autoridades e organizações de compartilhamento de inteligência será essencial.

Conclusão

Hackers em busca de resgates atacaram grandes empresas financeiras americanas com sites falsos e ligações que imitavam os departamentos de suporte técnico.

Pelo menos 72 domínios foram ligados a tentativas contra Blackstone, Apollo, KKR, CME Group, Bridgewater, Bain Capital e Moody’s.

Mais de 200 empresas foram visadas em cinco semanas, mas a Reuters não conseguiu estabelecer quantas invasões tiveram sucesso.

Ponto-chave final

A campanha demonstra que até os sistemas de segurança mais avançados podem falhar quando criminosos manipulam diretamente os funcionários. O maior risco não está em uma tecnologia complexa, mas em ligações convincentes que transformam os próprios procedimentos de proteção em ferramentas de invasão.