Num alerta que levanta preocupações sobre a privacidade e a segurança digital no contexto atual, o FBI informou que hackers estão comprometendo endereços de e-mail de agências governamentais e de forças de segurança para fazer solicitações fraudulentas de dados pessoais a empresas tecnológicas baseadas nos Estados Unidos. Essas solicitações, apresentadas como “emergenciais”, visam obter informações sensíveis de usuários, como e-mails e números de telefone, e são conseguidas ao explorarem falhas de segurança em contas de e-mail de instituições de segurança pública.
O aviso público emitido pelo FBI esta semana revela um reconhecimento raro do governo federal sobre a ameaça representada por procedimentos fraudulentos que são utilizados para o acesso a dados pessoais. As solicitações de dados emergenciais, originalmente concebidas para permitir que autoridades policiais e federais acessem informações de empresas em situações de risco imediato, têm sido objeto de abuso nos últimos anos, conforme relatado pela mídia. O FBI observou um aumento significativo em postagens criminosas na internet, especialmente a partir de agosto, onde esses grupos anunciavam acesso a solicitações emergenciais fraudulentas. A iniciativa de tornar isso público visa aumentar a conscientização sobre essa prática prejudicial.
No conteúdo do aviso, é afirmado que “cibercriminosos provavelmente estão obtendo acesso a endereços de e-mail de governos, tanto dos Estados Unidos quanto de outros países, e utilizando essas informações de forma fraudulenta para solicitar dados a empresas localizadas nos EUA, expondo a informação pessoal dos consumidores a contratos maliciosos para fins criminosos”. Para se ter uma ideia das implicações, as forças policiais geralmente precisam de uma justificativa legal para ter acesso a dados privados armazenados por empresas, tendo que apresentar evidências substanciais de um possível crime para que um tribunal emita um mandado de busca. O mesmo se aplica a intimações que não exigem um mandado, mas que visam coletar informações limitadas sobre os usuários, como nomes de usuário, informações de conta, e até mesmo a localização aproximada da pessoa em questão.
A abusividade das solicitações emergenciais tem chamado a atenção das autoridades, pois essas situações definem uma urgência que, por definição, não permitem o devido processo legal. O FBI destacou que os cibercriminosos têm utilizado contas de e-mail de agências de segurança comprometidas para criar intimações que parecem legítimas, resultando na entrega de dados a partir das empresas visadas. De acordo com informações divulgadas, algumas intimações fraudulentas mencionavam ameaças falsas, incluindo alegações de tráfico de pessoas ou afirmações de que um indivíduo “sofreria muito ou morreria” se a empresa não fornecesse as informações solicitadas.
O FBI também evidenciou que as tentativas de acesso a dados pessoais não foram sempre bem-sucedidas. Contudo, é sabido que os cibercriminosos costumam utilizar as informações obtidas para práticas de assédio, doxing, e esquemas de fraude financeira. Um relatório da Bloomberg de 2022 revelou que esses hackers conseguiram extrair dados de usuários de colossais plataformas como Apple, Meta, além de serviços como Snapchat e Discord, utilizando métodos de solicitação emergencial fraudulenta.
Com empresas como Apple, Google e Meta recebendo anualmente dezenas de milhares de solicitações de dados emergenciais, o tamanho do problema se torna ainda mais evidente. A Bloomberg, em 2022, relatou que algumas dessas solicitações fraudulentas datavam de 2021 e estavam associadas a grupos de hackers, muitos dos quais são conhecidos por sua juventude e ousadia, como o Recursion Team e o Lapsus$. Esse último grupo conquistou notoriedade ao realizar invasões em grandes corporações, incluindo a Uber.
Diante dessa situação alarmante, o FBI aconselha que as organizações de segurança pública adotem medidas robustas para melhorar suas posturas de cibersegurança. Sugestões incluem a adoção de senhas mais seguras e a implementação da autenticação em múltiplos fatores. O FBI também frisou que empresas privadas devem aplicar um pensamento crítico a todas as solicitações emergenciais recebidas, uma vez que os cibercriminosos estão cientes da necessidade de agir rapidamente nesses cenários.
Em síntese, a nova revelação do FBI sublinha a importância de uma vigilância contínua e aprimorada tanto por parte de entidades de segurança pública quanto das empresas que lidam com dados sensíveis. Em tempos onde a privacidade se torna cada vez mais rara, a proteção dos dados pessoais deve ser uma prioridade compartilhada para que se evitem abusos que podem ameaçar não apenas a segurança individual, mas a integridade de toda a sociedade.
