Sextortion: Hackers usam dados roubados a gigantes tecnológicas para chantagear crianças e mulheres

Os dados roubados a gigantes tecnológicas eram usados por cibercriminosos para hackear as contas dos utilizadores ou para levar a cabo esquemas de engenharia social, tudo com o objetivo de pressionar as vítimas a criar e partilhar conteúdos sexualmente explícitos.

Tek

Uma nova investigação revela que cibercriminosos estão a levar a cabo esquemas de sextortion que têm como "alvo" crianças e mulheres, recorrendo a dados roubados de gigantes tecnológicas como Apple, Twitter, Google, Discord, Meta e Snap.

De acordo com fontes a que a Bloomberg teve acesso, as empresas tecnológicas foram levadas a disponibilizar informação sensível acerca dos seus clientes em resposta a pedidos legais fraudulentos, com os piratas informáticos a fazerem-se passar por polícias.

O método utilizado pode variar, mas tende a seguir um padrão específico. Tudo começa com os cibercriminosos a comprometerem os sistemas de correio eletrónico de uma agência policial. De seguida enviam um pedido de emergência fraudulento a uma empresa tecnológica, requisitando dados acerca da conta de um determinado utilizador do seu serviço.

A empresa acede ao pedido de emergência, disponibilizando dados como nome, endereço IP, email e morada, sendo que em alguns casos pode ser fornecida informação adicional. Os dados obtidos são depois utilizados pelos cibercriminosos para hackear as contas dos utilizadores ou para levar a cabo esquemas de engenharia social, tudo com o objetivo de pressionar as vítimas a criar e partilhar conteúdos sexualmente explícitos.

Os pedidos escalavam frequentemente a situações de chantagem, com os piratas informáticos a ameaçarem enviar todos os conteúdos criados pelas vítimas aos seus amigos, famílias e escolas. Em alguns casos, as vítimas eram pressionadas a cortar na sua pele o nome dos hackers e a enviarem fotografias. Se não acedessem aos pedidos, os cibercriminosos retaliavam, recorrendo a táticas como “swatting” ou “doxxing”.

As autoridades e investigadores acreditam que este método tem vindo a tornar-se prevalente ao longo dos últimos meses, sendo levado a cabo por cibercriminosos adolescentes, muitos dos quais se encontram nos Estados Unidos.

Para já, as autoridades e empresas tecnológicas ainda estão a tentar perceber a extensão do problema. Segundo as fontes, uma vez que os pedidos aparentam ser de agências policiais legítimas, é difícil para as empresas tecnológicas perceberem quando é que foram enganadas.

Em resposta à Bloomberg, um porta-voz da Google indica que, em 2021, a empresa detetou um pedido fraudulento de dados vindo de cibercriminosos que se faziam passar pela polícia. A tecnologia identificou o responsável pela situação e notificou as autoridades competentes, com as quais tem vindo a colaborar para impedir novos esquemas fraudulentos.

Já porta-vozes do Facebook, Snap e Discord realçam que todos os pedidos de dados vindos de autoridades são revistos de modo a impedir abusos. Tanto o Twitter como a Apple declinaram fazer qualquer tipo de comentários.