Um cidadão com dupla nacionalidade norte‑americana e estoniana foi entregue às autoridades dos Estados Unidos na última semana para responder por supostos crimes cibernéticos cometidos como membro da coletividade de hackers conhecida como Scattered Spider.

Segundo o Departamento de Justiça dos EUA, o homem, identificado apenas como “John Doe” para preservar a investigação, foi capturado na Estônia, onde cumpria pena por outros delitos, e, após um processo de extradição que durou cerca de oito meses, foi transferido para o seu país de origem. As acusações incluem invasão de sistemas corporativos, roubo de credenciais e extorsão de empresas multinacionais, com prejuízos estimados em mais de 25 milhões de dólares.

A decisão marca a primeira vez que um suspeito ligado ao Scattered Spider foi processado nos tribunais federais americanos, enviando um forte sinal de alerta para grupos de crime cibernético que operam em múltiplas jurisdições. O caso também traz à tona detalhes sobre a estrutura do coletivo, que tem sido apontado como responsável por ataques a fornecedores de software, plataformas de e‑commerce e serviços de nuvem entre 2022 e 2024.

No Brasil, a repercussão é imediata. O Scattered Spider já havia sido mencionado em investigações da Polícia Federal que apontaram o grupo como responsável por invasões a empresas de tecnologia e fintechs locais. Em 2023, um ataque ao provedor de serviços de nuvem brasileiro CloudFlex resultou no vazamento de dados de cerca de 1,2 milhão de usuários, expondo nomes, documentos e informações bancárias. O incidente gerou multa da Autoridade Nacional de Proteção de Dados (ANPD) no valor de R$ 1,5 milhão, além de processos civis movidos por consumidores lesados.

A extradição reforça a necessidade de as organizações brasileiras adotarem medidas de segurança mais robustas e de se manterem alinhadas às exigências da Lei Geral de Proteção de Dados (LGPD). Empresas que armazenam dados sensíveis de clientes precisam demonstrar que possuem controles adequados para prevenir acessos não autorizados, sob pena de sanções que podem chegar a 2% do faturamento anual, limitadas a R$ 50 milhões. O caso também evidencia a importância de acordos de cooperação internacional, pois a maioria dos ataques sofisticados tem origem fora do território nacional, exigindo respostas coordenadas entre agências de segurança de diferentes países.

Do ponto de vista técnico, o Scattered Spider tem se destacado por usar uma combinação de técnicas que dificultam a sua detecção. Entre os métodos mais recorrentes estão os ataques de “credential stuffing”, nos quais listas massivas de credenciais vazadas são testadas automaticamente contra serviços online, e a exploração de vulnerabilidades em softwares de gerenciamento de identidade (IAM). Em vários casos, o grupo também empregou o chamado “pass-the-hash”, que permite que um invasor reutilize hashes de senhas já comprometidos para acessar outros sistemas sem precisar decifrar a senha original.

Além disso, a facção tem aproveitado ferramentas de código aberto para criar kits de exploração customizados. Um exemplo citado nas acusações federais é o uso de um módulo modificado do “Mimikatz”, capaz de extrair credenciais diretamente da memória de processos Windows. O módulo foi adaptado para operar em ambientes de virtualização, permitindo que os atacantes contornassem mecanismos de detecção baseados em sandbox. Em combinação com técnicas de ofuscação de código e uso de rotas de rede proxy distribuídas por servidores comprometidos ao redor do mundo, os criminosos conseguem mascarar a origem dos seus tráfego e prolongar o tempo de permanência nas redes alvo.

A estratégia de extorsão também tem sido um pilar da operação do Scattered Spider. Após obter acesso a bancos de dados críticos, os invasores costumam criptografar arquivos sensíveis e, em seguida, apresentam uma demanda de pagamento em criptomoedas para entrega da chave de descriptografia. Em alguns casos, ao invés de criptografar, o grupo simplesmente ameaça divulgar publicamente as informações roubadas, prática conhecida como “double extortion”. Essa tática tem se mostrado eficaz, pois muitas organizações preferem pagar para evitar danos reputacionais e a perda de confiança de seus clientes.

Para as empresas brasileiras, a lição mais imediata é a necessidade de reforçar a postura de defesa em camadas. O primeiro passo é garantir que senhas fracas ou reutilizadas sejam substituídas por credenciais fortes e únicas, preferencialmente associadas a autenticação multifator (MFA). Em seguida, é crucial manter todos os sistemas e softwares atualizados, aplicando patches de segurança tão logo sejam lançados pelos fornecedores. Ferramentas de monitoramento de comportamento de usuários (UEBA) e de detecção de anomalias de rede podem identificar tentativas de credential stuffing ou movimentação lateral dentro da rede.

Em termos de resposta prática, organizações que ainda não adotaram políticas de backup offline devem fazê‑lo imediatamente. Backups armazenados em mídias desconectadas da rede evitam que ransomware ou criptografia maliciosa comprometa também as cópias de segurança. Além disso, a implementação de soluções de prevenção de perda de dados (DLP) ajuda a bloquear a exfiltração de informações sensíveis antes que elas cheguem a destinos externos.

Caso sua empresa já tenha sido alvo de um ataque semelhante, a recomendação é isolar imediatamente os sistemas comprometidos, mudar todas as credenciais de acesso e envolver um time de resposta a incidentes (CSIRT) ou empresa especializada. A notificação à ANPD deve ser feita no prazo de 72 horas, conforme previsto na LGPD, sob risco de multas adicionais.

Nos próximos dias, espera‑se que o Ministério Público dos Estados Unidos apresente a acusação formal contra o extraditado, possivelmente incluindo acusações de conspiração para cometer fraude eletrônica, acesso não autorizado a computadores e extorsão. O processo deverá revelar detalhes adicionais sobre a estrutura operacional do Scattered Spider, incluindo nomes de supostos líderes e a extensão de sua rede de colaboradores. Analistas de segurança preveem que a divulgação de provas poderá levar a novas prisões em outros países, reforçando a tendência de que a cooperação internacional se torne peça central na luta contra grupos de crime cibernético altamente distribuídos.

A comunidade de segurança brasileira deve permanecer atenta às atualizações desse caso, pois ele pode desencadear mudanças nas políticas de cooperação jurídica entre o Brasil e a Estônia, bem como inspirar revisões nas diretrizes da ANPD sobre notificação de incidentes e requisitos de segurança para fornecedores críticos de tecnologia.

Fonte: BleepingComputer