Uma pasta esquecida aberta na internet mostrou como criminosos de ransomware estão usando inteligência artificial para atacar empresas. O que ela revelou tem pouca magia e muito descuido: os invasores entraram por sistemas sem atualização e, em um caso, com uma única senha repetida em vários lugares.
O que os pesquisadores encontraram
Segundo o The Hacker News, a descoberta foi da SOCRadar. O responsável é descrito como um agente de língua russa que invade empresas, rouba dados para extorsão e também fornece infraestrutura a parceiros de ransomware. A campanha está ligada a afiliados de dois grupos, o INC e o The Gentlemen.
Tudo girava em torno de uma estrutura chamada Phantom. O modelo é “executado por IA, aprovado por humanos”: uma pessoa escreve a instrução para cada vítima e revisa cada passo, enquanto a ferramenta roda os ataques usando modelos comerciais de IA. Quando um modelo se recusava a fazer algo, o operador reescrevia o pedido como se fosse um teste autorizado de segurança, em vez de trocar de modelo. Uma pasta exposta registrava 8.257 mensagens em 133 sessões.
Como entravam
A porta de entrada eram sistemas voltados para a internet, como acessos remotos, VPNs e painéis de hospedagem, a maioria com falhas já conhecidas. Depois de dentro, os invasores subiam de privilégio até controlar a rede inteira. O relato destaca a reutilização de senhas: em um caso, uma só senha abriu a VPN, os servidores e até as plataformas de backup e de segurança.
A pressão sobre as vítimas
Os criminosos analisavam as finanças roubadas para estimar quanto a vítima conseguiria pagar sem envolver banco ou seguradora. Mandavam amostras com dados escondidos e pressionavam com ligações por telefone e ameaças de avisar clientes, parceiros e órgãos reguladores. Sem pagamento em 24 a 72 horas, os dados iam para o site de vazamentos.
Quem estava na mira
Foram cerca de 62 organizações visadas, e 4 apareceram nos sites de vazamento. Mais da metade dos alvos estava nos Estados Unidos, principalmente indústria, manufatura e energia, depois saúde e farmacêuticas. A reportagem não encontrou registros de pagamentos, então não se sabe quanto os criminosos ganharam. O recado serve para qualquer empresa, inclusive pequenas: o ataque era automatizado, e o que o barrou ou deixou passar foi o básico.
Como se proteger
- Atualize tudo que fica aberto para a internet: VPN, acesso remoto, firewall, site e painéis de hospedagem.
- Nunca repita senhas entre sistemas, principalmente nos de administração, backup e segurança. Use um gerenciador de senhas.
- Ative a verificação em duas etapas em e-mail, VPN e painéis de administração.
- Mantenha backups separados da rede principal, para que uma invasão não alcance as cópias.
- Desconfie de ligações urgentes de quem diz ser do suporte ou de um órgão. O golpe por telefone fazia parte da extorsão.
