Uma ligação telefônica do “suporte de TI” está se tornando uma das ameaças de engenharia social mais caras que Wall Street enfrenta atualmente. De acordo com um novo relatório de segurança do Google, uma onda de ciberataques a empresas financeiras coordenados atingiu algumas das maiores empresas de private equity e investimento dos Estados Unidos, com hackers usando ligações telefônicas à moda antiga em vez de malware sofisticado para invadir redes corporativas e roubar dados confidenciais para extorsão.
Summary
Principais pontos
- O Google identificou quatro grupos de hackers — Falcon, Helix, Pink e Redact — usando ligações de phishing de voz para violar empresas financeiras dos EUA.
- Os alvos incluem, segundo relatos, Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s e TPG, de acordo com a Reuters.
- O Google acompanha a atividade sob um coletivo mais amplo chamado UNC6671, embora não esteja claro se os grupos são afiliados ou operadores independentes.
- As exigências de resgate normalmente variam de US$ 750.000 a US$ 3 milhões, e uma carteira vinculada à campanha recebeu cerca de US$ 10 milhões em bitcoin neste ano.
Ataques de phishing de voz contra empresas financeiras dos EUA
Hackers desconhecidos estão invadindo grandes empresas financeiras e de investimento em todo o país com um objetivo claro: roubar dados corporativos confidenciais que possam ser usados posteriormente para extorquir as vítimas, ameaçando publicá-los. Os pesquisadores de segurança do Google detalharam a campanha em um relatório publicado na quinta-feira, descrevendo um padrão de ataques que se apoia em erro humano em vez de explorações de software.
A técnica no centro dessa campanha é conhecida no setor como phishing de voz, ou vishing. É um golpe de décadas, adaptado para um ambiente corporativo moderno, e parece funcionar bem contra funcionários que presumem que uma ligação telefônica é mais segura do que um e-mail suspeito.
Técnicas de personificação usadas no vishing
Os atacantes ligam para os celulares pessoais dos funcionários e se passam por colegas de trabalho ou membros da equipe interna de helpdesk de TI. Durante essas ligações, eles tentam orientar o alvo a inserir credenciais de login e códigos de autenticação multifator em sites criados para parecerem portais legítimos da empresa. Uma vez que essas credenciais caem em mãos erradas, os hackers obtêm o acesso de que precisam para avançar mais profundamente nos sistemas da empresa.
Isso é importante porque a autenticação multifator é amplamente tratada como uma rede de segurança de proteção. Quando alguém é convencido a digitar um código de uso único em uma página falsa em tempo real, essa rede de segurança desaparece efetivamente — nenhum firewall ou ferramenta antivírus pode impedir uma decisão tomada por um funcionário confiante ao telefone.
Principais empresas financeiras afetadas
O Google não nomeou publicamente nenhuma vítima em seu relatório. A Reuters, no entanto, informou que a lista de organizações visadas inclui alguns dos maiores nomes em private equity e serviços financeiros: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s e TPG. Laurie Bischel, porta-voz do CME Group, recusou comentar quando questionada sobre a reportagem. Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, KKR, Moody’s e TPG não responderam aos pedidos de comentário.
Estratégias de extorsão e exigências financeiras
Uma vez dentro da rede, os hackers não apenas roubam dados silenciosamente — vários dos grupos mantêm sites de extorsão públicos projetados para pressionar as vítimas a pagar rapidamente. Essa é uma tática bem conhecida entre grupos cibercriminosos, mas seu uso contra instituições financeiras de elite eleva consideravelmente as apostas, dada a sensibilidade das informações relacionadas a negócios que essas empresas detêm.
Sites públicos de extorsão e ameaças
De acordo com o Google, alguns dos grupos identificados operam sites de vazamento dedicados, onde publicizam violações e ameaçam divulgar arquivos roubados a menos que um resgate seja pago. Um desses sites continha uma mensagem que enquadrava a extorsão quase como uma negociação comercial: “Conduzimos toda negociação em termos profissionais. A publicação de seus dados nunca é nossa resolução preferida; é a consequência da recusa em negociar, da demora deliberada ou da falha em honrar um acordo”, dizia a mensagem, acrescentando: “Responda prontamente e de boa-fé, e o assunto será resolvido sem novos incidentes.”
Exigências de resgate e pagamentos em criptomoedas
O dinheiro envolvido é substancial. Os pesquisadores do Google disseram que os hackers normalmente exigem entre US$ 750.000 e US$ 3 milhões de cada vítima. Em um dado particularmente marcante, uma carteira de criptomoeda vinculada a um dos grupos de hackers recebeu cerca de US$ 10 milhões em bitcoin apenas nos primeiros meses deste ano — um número que sugere que a campanha já rendeu lucros consideráveis para quem está por trás dela.
Coordenação entre grupos de hackers sob o UNC6671
Os pesquisadores do Google acreditam que os quatro grupos nomeados podem não estar operando de forma isolada. Em vez disso, eles podem ser diferentes faces de uma única rede maior, projetada para ocultar a verdadeira escala da operação.
Grupos de hackers identificados e possíveis afiliações
O Google batizou os quatro grupos de Falcon, Helix, Pink e Redact, e afirma que todos podem se enquadrar em um guarda-chuva mais amplo que a empresa acompanha internamente como UNC6671. O que permanece incerto é a relação exata entre eles — se são afiliados formais, grupos dissidentes que se separaram de uma origem comum ou simplesmente operadores distintos que utilizam a mesma infraestrutura de phishing como serviço. “Acreditamos que isso provavelmente reflete um grupo coordenado de agentes de ameaça operando múltiplas marcas públicas de extorsão, possivelmente em um esforço para compartimentalizar operações, ocultar o volume total de violações e isolar qualquer repercussão de negociações”, afirmou o relatório do Google.
Motivações estratégicas e seleção de alvos
Esta não é uma campanha que começou com private equity. O Google afirma que os mesmos grupos já atacaram anteriormente grandes empresas dos setores de manufatura, imóveis, saúde, seguros, tecnologia, transporte e hotelaria, em busca de “propriedade intelectual valiosa, código-fonte de software ou dados confidenciais de clientes VIP”.
A guinada em direção a organizações jurídicas e financeiras, incluindo empresas de private equity, parece deliberada. Os pesquisadores do Google observaram que “concentrar-se em organizações envolvidas em fusões, aquisições, alocação de capital e litígios pode refletir uma estratégia de direcionar dados corporativos e confidenciais de alto valor para maximizar a alavancagem em exigências de extorsão”. Em outras palavras, os hackers parecem estar perseguindo o tipo de informação — termos de negócios, estratégia de litígio, registros sensíveis de clientes — pela qual as empresas pagarão caro para manter fora do domínio público.
Para um setor construído sobre confidencialidade e confiança, essa lógica de direcionamento é o verdadeiro sinal de alerta aqui. Não se trata apenas de uma violação ou de um pagamento; é um sinal de que os atacantes identificaram o private equity e os serviços financeiros como terreno fértil precisamente porque o custo da exposição, para essas empresas, é muito maior do que o próprio resgate.
Perguntas frequentes
Como os hackers obtêm acesso às credenciais dos funcionários nesses ataques?
Os hackers fazem ligações telefônicas se passando por colegas de trabalho ou membros da equipe de helpdesk de TI para enganar os funcionários e levá-los a inserir credenciais em sites falsificados.
Quais empresas financeiras foram alvo desses ataques de phishing de voz?
As empresas visadas incluem, segundo relatos, Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s e TPG.
Quais táticas de extorsão os hackers usam após roubar dados?
Alguns grupos mantêm sites que ameaçam publicar dados roubados, a menos que as vítimas paguem resgates.
Quais são as exigências típicas de resgate feitas por esses grupos de hackers?
As exigências de resgate normalmente variam entre US$ 750.000 e US$ 3 milhões.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Como os hackers obtêm acesso às credenciais dos funcionários nesses ataques?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Os hackers fazem ligações telefônicas se passando por colegas de trabalho ou membros da equipe de helpdesk de TI para enganar os funcionários e levá-los a inserir credenciais em sites falsificados.”}},{“@type”:”Question”,”name”:”Quais empresas financeiras foram alvo desses ataques de phishing de voz?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”As empresas visadas incluem, segundo relatos, Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s e TPG.”}},{“@type”:”Question”,”name”:”Quais táticas de extorsão os hackers usam após roubar dados?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Alguns grupos mantêm sites que ameaçam publicar dados roubados, a menos que as vítimas paguem resgates.”}},{“@type”:”Question”,”name”:”Quais são as exigências típicas de resgate feitas por esses grupos de hackers?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”As exigências de resgate normalmente variam entre US$ 750.000 e US$ 3 milhões.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
