Criminosos por Trás de Startup de Segurança Ofensiva

Imagine uma empresa que promete pagar milhões por falhas de segurança em softwares populares. Agora, imagine descobrir que por trás dessa fachada estão golpistas condenados, especialistas em criar empresas falsas e espalhar desinformação. Foi exatamente isso que revelou uma investigação recente do jornalista Brian Krebs, em seu site Krebs on Security. A startup IRIS C2, que se apresenta como uma empresa de segurança ofensiva em McLean, Virgínia, é na verdade operada por Jack Burkman e Jacob Wohl, uma dupla com um histórico notório de fraudes e manipulação.

O caso expõe uma verdade incômoda: o submundo da segurança digital está cheio de atores mal-intencionados que se aproveitam da confiança e do desespero de profissionais e empresas. Enquanto a mídia tradicional foca nos grandes vazamentos de dados, histórias como essa revelam um risco ainda mais profundo: a corrupção do próprio ecossistema de segurança, onde criminosos se infiltram para explorar vulnerabilidades e enganar inocentes.

O disfarce da legitimidade

A IRIS C2 não economiza em marketing. Seu site promete pagamentos de até US$ 7 milhões por exploits zero-day, e sua conta no X (antigo Twitter) já acumula milhares de seguidores. Mas a investigação de Krebs revelou que a empresa é registrada como Calvexa Group LLC, cujo endereço em Arlington, Virgínia, é a residência de Jack Burkman. Burkman, um lobista de 60 anos, e Wohl, de 28, são conhecidos por criar empresas de inteligência falsas e espalhar alegações infundadas contra figuras públicas.

O modus operandi da dupla é familiar: criar uma fachada impressionante, atrair talentos e clientes com promessas grandiosas, e depois desaparecer ou se envolver em escândalos. Em 2020, eles foram indiciados por um esquema de robocalls que visava suprimir votos de minorias em estados-chave. Em 2023, a FCC aplicou uma multa de US$ 5,1 milhões contra eles por violações da Lei de Proteção ao Consumidor de Telecomunicações.

Mas o que isso tem a ver com você? A resposta é simples: quando criminosos controlam uma empresa de segurança, todos estamos em risco. Eles podem estar coletando vulnerabilidades não para proteger sistemas, mas para vendê-las a governos opressores ou grupos criminosos. Ou pior, podem estar usando essas falhas para ataques diretos contra cidadãos comuns.

Além das manchetes: o risco real para sua identidade

Enquanto a mídia debate as implicações éticas do caso, poucos falam sobre o impacto concreto na vida das pessoas. A IRIS C2, por exemplo, afirma ter cerca de 40 funcionários, mas nenhum deles pode listar o emprego no LinkedIn por razões de "segurança operacional". Isso levanta uma questão perturbadora: quantos desses "funcionários" estão cientes das atividades criminosas de seus chefes?

Além disso, a empresa tem como foco a aquisição de exploits para dispositivos móveis, incluindo técnicas de invasão de celulares. Isso significa que, se eles forem bem-sucedidos, seu smartphone pode se tornar uma porta de entrada para criminosos. E não estamos falando de ataques sofisticados contra alvos governamentais: muitas vezes, essas vulnerabilidades são usadas em golpes de phishing, roubo de credenciais e extorsão.

É aí que entra o perigo dos aplicativos maliciosos. Muitos golpistas se aproveitam da confiança dos usuários para distribuir apps falsos que roubam dados pessoais, bancários e até mesmo acesso à câmera e microfone. Em 2025, pesquisadores identificaram um aumento de 300% em apps fraudulentos que se passavam por ferramentas legítimas de segurança, mas que, na verdade, instalavam malware espião.

A conexão com o caso IRIS C2 é clara: o ecossistema de exploração de vulnerabilidades alimenta o crime digital em massa. Quando uma falha é descoberta e não corrigida, ela pode ser empacotada em um app falso e distribuída para milhares de vítimas. E, muitas vezes, essas falhas são vendidas justamente para intermediários sem escrúpulos, como a dupla Burkman-Wohl.

O que as empresas não estão contando

Após cada grande vazamento de dados, as empresas afetadas soltam comunicados padronizados: "Levamos a segurança a sério", "Estamos investigando o incidente", "Recomendamos que os usuários alterem suas senhas". Mas o que elas não dizem é que, muitas vezes, a vulnerabilidade explorada já era conhecida há meses — e poderia ter sido corrigida se houvesse investimento adequado em segurança.

O caso IRIS C2 é um sintoma de um problema maior: a indústria de segurança cibernética está repleta de atores que lucram com a insegurança. Enquanto empresas legítimas correm para corrigir falhas, outras — como a IRIS C2 — preferem comprá-las e revendê-las no mercado negro. E o cidadão comum, que confia em aplicativos e serviços online, acaba pagando o preço.

Um exemplo concreto: em 2024, um aplicativo de edição de fotos popular foi removido das lojas oficiais após descobrir-se que ele continha um código malicioso capaz de roubar tokens de autenticação do Facebook e do Google. Milhões de usuários tiveram suas contas comprometidas, e muitos só souberam do problema quando seus perfis começaram a publicar spam automaticamente.

Esses incidentes não são acidentes: são o resultado direto de um mercado que recompensa a exploração em vez da proteção. E enquanto não houver responsabilização efetiva, continuaremos vendo casos como o da IRIS C2, onde criminosos se passam por especialistas em segurança para enganar a todos.

Proteja-se: verificação contínua é essencial

Diante desse cenário, a única defesa real é a vigilância constante. Não basta trocar senhas após um vazamento anunciado; é preciso monitorar proativamente se seus dados estão circulando em fóruns criminosos. E é exatamente isso que a Kzarka oferece: uma plataforma que verifica continuamente se suas informações pessoais — como e-mail, CPF, número de telefone — apareceram em vazamentos conhecidos ou em listas de dados roubados.

Além disso, a Kzarka ajuda a identificar se seus dispositivos foram comprometidos por aplicativos maliciosos, cruzando dados de telemetria com bases de ameaças conhecidas. Com alertas em tempo real, você pode agir antes que os criminosos usem suas informações para fraudes, golpes ou roubo de identidade.

Não espere ser a próxima vítima. Acesse a Kzarka agora e faça uma verificação gratuita. Descubra se seus dados já estão expostos e tome o controle da sua segurança digital antes que seja tarde demais.

FAQ: Perguntas Frequentes

Como saber se meus dados foram vazados por um aplicativo malicioso?

Fique atento a sinais como aumento de spam, notificações estranhas, consumo excessivo de bateria ou dados móveis, e aplicativos que você não instalou. Use uma plataforma de monitoramento como a Kzarka para verificar se suas credenciais apareceram em listas de vazamento.

O que fazer se eu suspeitar que um aplicativo roubou meus dados?

Primeiro, desinstale o aplicativo imediatamente. Em seguida, altere todas as senhas das contas associadas, ative a autenticação de dois fatores e monitore suas contas bancárias e de e-mail por atividades suspeitas. Considere também uma varredura completa com um antivírus confiável.

Por que empresas como a IRIS C2 são perigosas para o usuário comum?

Elas adquirem vulnerabilidades que podem ser usadas para ataques em massa, como golpes de phishing ou invasão de dispositivos. Além disso, ao operar fora da lei, não há garantias de que essas falhas serão corrigidas, deixando os usuários expostos indefinidamente.