Como adolescentes clonando chips celulares atacaram governos e grandes empresas?
Por Felipe Demartini • Editado por Wallace Moté |
Um relatório publicado nesta semana pelo governo dos Estados Unidos associou a clonagem de chips celulares, o conhecido “SIM swapping”, a alguns dos principais ataques cibercriminosos contra grandes empresas e governos de todo o mundo. Os ataques do grupo Lapsus$, que atingiu nomes como Microsoft, Samsung e até o Ministério da Saúde do Brasil, levantaram preocupações quanto à segurança de redes celulares e pedidos de investimento por órgãos públicos.
- Golpe da portabilidade | Saiba como se proteger de verdade
- Como diminuir riscos de segurança em celulares pessoais no trabalho?
Registrados a partir do final de 2021, os golpes realizados pelo bando envolviam a intrusão a sistemas fechados, a partir do roubo de credenciais de acesso, e o furto de informações, que mais tarde viravam moeda de chantagem. De acordo com a análise do Departamento de Segurança Interna (DHS, na sigla em inglês), todas as técnicas utilizadas eram amplamente conhecidas por especialistas e de baixo custo para os bandidos, expondo buracos que não deveriam existir nas infraestruturas atingidas.
Enquanto outros métodos também foram usados, como a inundação de notificações de acesso ou o roubo de credenciais usando malware, foi o SIM swapping o principal responsável pelos ataques de maior porte realizados pelo Lapsus$. Em outra conclusão que citou como preocupante, o governo americano cita a presença de adolescentes brasileiros e britânicos, alguns com menos de 16 anos, que agiam em busca de ganhos financeiros ou como forma de provar os próprios conhecimentos.
O relatório citou a facilidade com que os criminosos do Lapsus$ foram capazes de clonar chips de celulares de executivos e membros de interesse das organizações, passando a receber códigos de autenticação e links de recuperação de senhas sem maiores dificuldades. O mesmo, aliás, também valia para os sistemas das próprias empresas de telecomunicações, que também foram atingidos pelo método, criando uma reação em cadeia que permitia mais e mais ataques.
Nestas, a ação de funcionários contratados pelos bandidos e a falsificação de pedidos de informações por autoridades governamentais, também foram usados como vetores iniciais dos ataques. Uma vez com acesso, ficou fácil para os cibercriminosos atribuírem os números celulares de suas vítimas para novos chips, obtendo rapidamente os códigos de autenticação em sistemas configurados de maneira incorreta, já que o uso de SMS para tal fim é considerado amplamente inseguro.
Com tudo isso, o resultado foi catastrófico. Entre 2021 e 2022, o Lapsus$ comprometeu dados e sistemas de dezenas de empresas de todo o mundo, chegando a vazar informações do esperado GTA 6 e atingindo nomes de peso como Microsoft, Samsung, LG, Uber, Nvidia e Ubisoft. No Brasil, o ataque do bando chegou a deixar o sistema ConecteSUS fora do ar, com golpes também contra o Ministério da Economia, a Controladoria-Geral da União e a Polícia Rodoviária Federal.
Multas contra telecoms e investimentos em educação
Além dos detalhes técnicos das explorações, consideradas relativamente simplórias para a importância das redes invadidas, o relatório do Departamento de Segurança Nacional também sugere a aplicação de multas contra as operadoras de telefonia. Segundo o órgão, a ideia seria punir as empresas pela ausência de mecanismos robustos de segurança, que poderiam impedir a clonagem de chips, considerado o ponto inicial da maioria dos golpes.
A análise mostrou que a responsabilidade de defesa, em muitos casos em que os ataques do Lapsus$ deram errado, recaiu sobre as plataformas de segurança das empresas que foram alvo. Ao mesmo tempo, a conclusão serve como um indicativo de que manter o monitoramento e controle de acesso ajuda a impedir intrusões cibercriminosas, mas também que medidas básicas dessa categoria não estavam funcionando em grandes corporações globais.
A presença de adolescentes entre os cibercriminosos do Lapsus$ também levou a um pedido por maiores investimentos em educação e recolocação profissional, voltados principalmente a famílias de baixa renda. A ideia é que mais e mais jovens estariam sendo atraídos ao cibercrime por conta dos altos ganhos e da possibilidade de demonstrarem as próprias capacidades, que poderiam ser aproveitadas do outro lado dessa batalha, em esforços de proteção.
O departamento cita exemplos encontrados nos Países Baixos e no Reino Unido, que já possuem programas de colocação profissional e incentivo a jovens, voltados especificamente para os afastar do cibercrime. Nos EUA, entretanto, não existem iniciativas assim, enquanto agências do governo já encontram amplos indícios de aliciamento de jovens por quadrilhas internacionais de bandidos digitais.
O medo, ainda, é quanto aos ataques governamentais, promovidos por estados-nação rivais. Para o DHS, se as grandes empresas e até alguns órgãos públicos não foram capazes de conter os golpes sofridos por adolescentes, o que dizer das ofensivas efetivamente sofisticadas, realizadas por especialistas muito bem financiados? O temor dialoga com a atenção cada vez maior do governo Joe Biden quanto ao cibercrime, que vem desde 2021, mas a conclusão é de que as ações, no que toca a juventude, são ineficazes.
As atividades do Lapsus$ foram praticamente interrompidas desde o final do ano passado após uma série de prisões de membros, inclusive no Brasil, e a revelação da identidade do adolescente que seria um dos seus líderes. Ainda assim, as ações seguem ecoando nas fileiras da cibersegurança e, como o relatório do governo dos EUA demonstra, serviu para demonstrar as brechas altamente exploráveis em sistemas de todo o mundo, que podem estar vulneráveis até hoje.
Fonte: CNN, Bleeping Computer