Extorsão de dados: como o Silent Ransom Group age

Um novo vazamento expôs o funcionamento interno de um dos grupos de extorsão de dados mais sofisticados da atualidade. O Silent Ransom Group (SRG), também conhecido como Luna Moth e UNC3753, teve seus materiais internos divulgados por um site anônimo na rede Tor, chamado The Luna Moth Files. A análise da Check Point Software revelou uma operação estruturada baseada em engenharia social, com funções especializadas que vão desde a pesquisa de alvos até a negociação de pagamentos. Isso muda completamente a forma como devemos encarar a proteção de dados corporativos e pessoais.

O material inclui registros de conversas, roteiros de vishing (phishing por voz), capturas de tela e até um suposto currículo de funcionário falso. O que chama atenção não são novas técnicas de malware, mas a organização quase empresarial do grupo. Eles transformam informações roubadas em acesso, dados e, por fim, em dinheiro — tudo através da manipulação da confiança humana. Se você acha que ransomware é só um software malicioso, está enganado: aqui, o principal vetor é a engenharia social.

Operação estruturada: funções definidas para extorquir

O Silent Ransom Group opera com uma divisão clara de tarefas. Cada membro tem um papel específico, o que aumenta a eficiência do ataque. Veja como funciona:

• Pesquisadores: investigam as organizações-alvo, identificam executivos e constroem personas empresariais convincentes.
• Operadores de contato: usam essas identidades falsas para ligar para as vítimas, ganhando confiança com pretextos de suporte técnico ou migração de dados.
• Operadores técnicos: durante as sessões remotas, acessam os dispositivos e extraem dados confidenciais.
• Negociadores: cuidam da monetização, pressionando as vítimas para pagamentos em criptomoedas.

Essa estrutura foi corroborada por registros do FBI, da Mandiant e da Unit 42. Em 2022, a Unit 42 já havia documentado campanhas de callback phishing do Luna Moth, onde vítimas eram induzidas a ligar para números controlados pelos criminosos. A Mandiant também relatou casos em que os atacantes se passavam por equipes internas de TI. O FBI chegou a registrar tentativas de acesso físico após abordagens remotas.

A ligação telefônica como arma central

Um dos documentos vazados revela como os operadores conduzem as ligações. Durante uma sessão remota, o operador de contato permanece em uma conversa coletiva com outros membros do grupo. Ele informa em tempo real qualquer mudança no comportamento da vítima, permitindo que um segundo operador atue simultaneamente no dispositivo. A ligação não é apenas uma ferramenta de engano: é o centro de coordenação do ataque.

Essa tática exige uma preparação minuciosa. Os criminosos mantêm domínios por longos períodos, criam contas de e-mail corporativas e sites com aparência comercial. Eles também usam serviços de informações sobre pessoas para mapear executivos e profissionais-chave. Com isso, chegam ao contato com uma identidade que resiste a verificações básicas. O roteiro identificado combina momentos de preocupação, tranquilização e urgência, apresentando o acesso remoto como uma medida de proteção.

Alvos preferenciais: escritórios de advocacia na mira

Os registros mostram uma preferência clara pelo setor jurídico. Entre as 50 vítimas mais recentes observadas, 42 eram escritórios de advocacia. No conjunto mais amplo, 69 vítimas eram de Serviços Empresariais, 22 de Serviços Financeiros e 2 do setor Imobiliário. A intenção declarada é atingir os 100 maiores escritórios do mundo.

Por que escritórios de advocacia? Eles administram volumes enormes de informações confidenciais: dados corporativos, documentos financeiros, informações pessoais e materiais de processos judiciais. O acesso a esses dados amplifica o poder de pressão dos extorsionários. Se um escritório sofre uma violação, as consequências podem ser catastróficas para seus clientes — e para a reputação da própria firma.

Indícios de acesso físico e o projeto FakeEmployee

O material também menciona discussões sobre recrutamento, possíveis agentes e um projeto chamado FakeEmployee. Há um suposto currículo enviado a escritórios de advocacia e fotografias descritas como registros de atividades presenciais. Embora as evidências sejam mais fortes para as discussões internas do que para a confirmação de infiltrações reais, o FBI já havia alertado sobre tentativas de obtenção de acesso físico após abordagens remotas.

Isso sugere que o grupo pode estar tentando infiltrar funcionários falsos nas organizações-alvo. Imagine um criminoso trabalhando dentro de um escritório de advocacia, com acesso direto a sistemas e documentos. O estrago seria imenso. A possibilidade, mesmo que não confirmada, deve acender um alerta vermelho para qualquer empresa que lida com dados sensíveis.

O que fazer agora: proteção contra extorsão de dados

A principal lição do caso Luna Moth é que controles baseados apenas em malware não são suficientes. A engenharia social explora o fator humano, e é aí que precisamos focar. Aqui estão medidas práticas e imediatas:

• Verifique solicitações de TI por um canal independente: se alguém ligar pedindo acesso remoto, desligue e ligue para o número oficial da sua equipe de TI. Nunca use o número fornecido pelo solicitante.
• Limite softwares de acesso remoto: restrinja a instalação de ferramentas como AnyDesk, TeamViewer e similares. Apenas a equipe de TI deve ter permissão para instalar e usar esses programas.
• Treine executivos e áreas visadas: advogados, contadores e profissionais de serviços empresariais são alvos prioritários. Eles precisam reconhecer táticas de vishing e pretextos comuns.
• Monitore domínios semelhantes e personas falsas: use soluções de Digital Brand Protection para identificar sites fraudulentos que imitam sua marca. Acompanhe discussões em fóruns da dark web sobre sua empresa.
• Monitore a exposição de dados de funcionários: use serviços de Deep and Dark Web Monitoring para saber se credenciais ou informações pessoais de colaboradores já vazaram. Isso pode indicar que sua empresa está sendo preparada como alvo.

A conexão com o roubo de notebooks e computadores

E se um notebook corporativo for roubado? O cenário se torna ainda mais crítico. Um dispositivo perdido pode conter credenciais salvas, documentos confidenciais e acesso a sistemas internos. Os criminosos do Luna Moth, por exemplo, poderiam usar essas informações para construir personas ainda mais convincentes ou até mesmo acessar a rede da empresa diretamente.

Se o seu notebook ou computador for roubado ou furtado, aja imediatamente:

• Altere todas as senhas associadas a contas acessadas no dispositivo, especialmente e-mail corporativo e serviços em nuvem.
• Revogue tokens de acesso e sessões ativas em aplicativos como Google, Microsoft 365 e outros.
• Avise a equipe de TI imediatamente para que possam bloquear o acesso do dispositivo à rede e rastrear tentativas de login.
• Verifique se há backups e se os dados estavam criptografados. Se não estavam, considere o que pode ter sido exposto.
• Registre um boletim de ocorrência e, se possível, use ferramentas de rastreamento (como Find My Device) para localizar ou apagar remotamente o equipamento.

O roubo de um dispositivo não é apenas uma perda material: é uma potencial porta de entrada para extorsão de dados. Os criminosos podem usar as informações contidas nele para lançar ataques direcionados contra você ou sua empresa.

Conclusão: a confiança como alvo

O caso do Silent Ransom Group mostra que a extorsão de dados evoluiu para um modelo de negócio estruturado. A engenharia social é a principal arma, e a confiança humana é o alvo. Não basta instalar antivírus e firewall: é preciso treinar pessoas, monitorar a exposição de dados e agir rapidamente diante de incidentes como roubo de dispositivos.

Na Kzarka, entendemos que a prevenção começa com o conhecimento. Se você suspeita que seus dados possam ter vazado ou quer monitorar sua identidade digital, visite https://kzarka.com e faça uma verificação gratuita. Nossa plataforma monitora vazamentos de dados e ajuda você a agir antes que os criminosos transformem suas informações em lucro.

FAQ: Perguntas Frequentes sobre Extorsão de Dados e o Silent Ransom Group

1. O que é o Silent Ransom Group?
O Silent Ransom Group (SRG), também conhecido como Luna Moth, é um grupo criminoso especializado em extorsão de dados. Em vez de usar ransomware tradicional, eles focam em engenharia social para obter acesso remoto e roubar informações confidenciais, que depois usam para pressionar as vítimas a pagar.

2. Como o grupo se aproxima das vítimas?
Eles pesquisam as organizações-alvo, criam personas empresariais falsas e ligam para funcionários se passando por suporte técnico ou equipe de TI. Durante a ligação, convencem a vítima a instalar softwares de acesso remoto legítimos, como AnyDesk ou TeamViewer, e então extraem dados.

3. Quais setores são mais visados?
Escritórios de advocacia são o alvo principal, seguidos por serviços empresariais e financeiros. A concentração no setor jurídico se deve ao grande volume de informações confidenciais que esses escritórios possuem, o que aumenta o poder de pressão dos extorsionários.

4. O que fazer se eu receber uma ligação suspeita pedindo acesso remoto?
Nunca conceda acesso. Desligue imediatamente e entre em contato com sua equipe de TI por um canal oficial que você já conhece. Verifique a identidade do solicitante antes de qualquer ação. Lembre-se: empresas legítimas não pedem acesso remoto sem um processo claro de verificação.

5. Como posso saber se meus dados já vazaram e estão sendo usados em ataques?
Você pode usar serviços de monitoramento de vazamentos de dados, como a plataforma da Kzarka. Acesse https://kzarka.com e faça uma verificação gratuita para descobrir se suas informações pessoais ou corporativas estão expostas na dark web. O monitoramento contínuo ajuda a agir antes que os criminosos usem seus dados contra você.