Soldado americano recebe pena de quase seis anos por invasão a telecoms

O soldado do Exército dos Estados Unidos Cameron John Wagenius, de 22 anos, foi sentenciado hoje a 70 meses de prisão federal e ordenado a pagar quase 300 mil dólares em restituição às vítimas. Ele confessou ter invadido diversas empresas de telecomunicações e roubado metadados de chamadas e mensagens de texto de mais de 100 milhões de clientes da AT&T em 2024.

Estacionado em uma base militar na Coreia do Sul, Wagenius operava sob o pseudônimo “Kiberphant0m”. Em colaboração com três supostos cúmplices, ele acessou dados de grandes clientes do serviço de armazenamento em nuvem Snowflake que possuíam credenciais expostas e não utilizavam autenticação multifator (a Snowflake passou a exigir MFA em todas as contas após os incidentes).

Extorsão e vazamento de dados sensíveis

Em outubro de 2024, o criminoso gabou-se em fóruns especializados de ter obtido metadados de dezenas de milhões de usuários da AT&T, incluindo números de origem e destino, carimbos de tempo e duração das ligações. Ele alegou ter comprometido mais de uma dúzia de operadoras globais, incluindo o serviço Push-to-Talk da Verizon, e tentou extorquir as empresas sob ameaça de publicar as informações roubadas.

A investigação ganhou força após o KrebsOnSecurity alertar, em novembro de 2024, que Kiberphant0m era provavelmente um soldado americano na Coreia do Sul. Menos de um mês depois, Wagenius foi preso e indiciado em dois processos federais distintos, confessando todas as acusações logo em seguida.

Rede de cúmplices e antecedentes criminais

Segundo promotores federais, Wagenius contou com a ajuda de Kenneth Schuchman, de 28 anos, residente em Vancouver, Washington, que possui extenso histórico em cibercrime. Em 2019, Schuchman admitiu operar a botnet Satori, uma vasta rede de dispositivos IoT (Internet das Coisas) comprometidos usada para ataques massivos de negação de serviço distribuído (DDoS).

Outros dois supostos comparsas ainda enfrentam acusações relacionadas aos vazamentos da Snowflake. Conor Riley Moucka, conhecido como “Judische”, de Kitchener, Ontário, foi preso em 2024 e confessou em agosto de 2026. John Erin Binns, cidadão americano vivendo na Turquia, também é procurado pelo vazamento de dados da T-Mobile em 2021, que expôs informações pessoais de pelo menos 76 milhões de clientes.

Ameaças a segurança nacional e conduta na prisão

Kiberphant0m admitiu ter re-extorquido vítimas e ameaçado divulgar segredos de segurança nacional. Logo após a prisão de Moucka, e depois que a AT&T já havia pago 370 mil dólares em resgate de Bitcoin, o grupo publicou nos fóruns o que seriam registros de chamadas do então presidente eleito Donald Trump e da então vice-presidente Kamala Harris, além de esquemas alegadamente roubados da Agência de Segurança Nacional (NSA).

Paul Russell, agente residente do Serviço de Investigação Criminal de Defesa (DCIS), braço investigativo do Departamento de Defesa, explicou que a agência mobilizou uma força-tarefa com FBI, Divisão de Investigação Criminal do Exército (CID) e Serviço Secreto assim que soube que um soldado com credencial de segurança secreta estava envolvido em cibercrime e extorsão.

Não recebemos frequentemente pistas sobre um soldado da ativa com credencial secreta criando ferramentas de invasão e traficando dados. Isso não acontece todo dia, e quando ocorre mobiliza todas as nossas organizações parceiras. Foi muito sério desde o início, justamente por ser único, uma ameaça interna, e não sabíamos com o que estávamos lidando.

Tentativas de explorar vulnerabilidades durante detenção

Um memorando de sentença apresentado em setembro pelos promotores em Seattle revela que, embora Wagenius tenha cooperado, ele foi flagrado tentando encontrar falhas na rede de computadores do Bureau of Prisons (BOP) enquanto aguardava a sentença. Registros do BOP indicam que, por volta de setembro de 2025, ele usou o e-mail de outro detento para solicitar a uma ferramenta comercial de IA informações sobre CVEs de escalação de privilégio no Windows 10 Enterprise, incluindo scripts funcionais completos.

Dias depois, repetiu a tática pedindo detalhes e código para a CVE-2023-45208, uma vulnerabilidade de injeção de comando em dispositivos de rede D-Link com três anos de existência. No mesmo mês, questionou como construir uma antena em ambiente prisional com itens disponíveis no refeitório para ampliar recepção de rádio, além de pesquisar sobre fuga da prisão. Os promotores classificaram essas consultas como “prompt injection”, técnica onde entradas enganosas tentam burlar as salvaguardas de IAs programadas para não gerar código malicioso. O governo informou ao tribunal não haver evidências de que ele tenha conseguido usar ou implantar as falhas pesquisadas nos sistemas do BOP.

Com informações de: Krebs on Security