Criminosos estão buscando golpes mais rentáveis e deixando de atacar clientes para mirar nos próprios bancos. A teoria é repetida à exaustão por todos os especialistas durante o Security Analyst Summit, congresso sobre segurança que aconteceu entre os dias 3 e 4 de abril, na Ilha de São Martinho (Caribe).

Hackers têm novo alvo para ataques de ransomware: sequestrar PCs de empresas

Um caso detalhado por Dmitry Bestuzhev, chefe de análises da Kaspersky Lab para América Latina, e Fábio Assolini, especialista sênior para o Brasil, chama atenção: um ataque bem coordenado a um banco inteiro no país sequestrou os serviços bancários online via PCs e celulares da organização por cinco horas. Sem revelar detalhes como o nome da instituição ou danos causados aos cofres, a dupla estima esse o roubo tenha afetado milhões de clientes em 300 cidades do mundo.

Aplicativo do TechTudo: receba dicas e notícias de tecnologia no seu celular

Meses antes, os invasores geraram um certificado digital SSL legítimo em nome do banco. A ideia era usá-lo durante o ataque sem levantar suspeitas. Ao visitar o site sequestrado pelos hackers, as vítimas (clientes do banco) não receberam nenhum aviso do navegador e a conexão se mantinha como segura, com um certificado legítimo e a conexão criptografada. Não havia nada que o usuário pudesse fazer para se proteger.

O ataque ocorreu meses depois, em outubro de 2016, durante um fim de semana, momento em que a equipe de segurança trabalha em regime de folgas e corpo reduzido. Para invadir diretamente a rede do banco, foi comprometida a infraestrutura do provedor de serviços de DNS — o Registro.br. Depois de assumir o controle, os hackers  redirecionaram as operações do banco para um famoso provedor: o Google Cloud.

No total, foram comprometidos os 36 domínios usados pelo banco para todos os tipos de serviços como cartões de débito e crédito, terminais de operações e caixas. “Não sabemos exatamente como comprometeram os domínios, mas há várias hipóteses”, explica Bestuzhev. Golpe de phishing em funcionários ou falhas no provedor são duas. Uma observação feita pela dupla é de que o banco não se cercou de usar a autenticação de duas etapas oferecidas pelo Registro.Br o que permitiu alterações em suas conta.

Quem tentava acessar os serviços bancários online ou no celular, era levado ao site falso. Usando um malware com instalação automática como se fosse um plug-in de segurança, os criminosos conseguiam roubar informações e o pior, bloquear o antivírus — nesta lista incluem-se todos — instalado nos dispositivo com o uso de um programa legítimo. “Todos os antivírus desta lista foram bloqueados”, mostra Assolini. Lista que inclui a Kaspersky. 

Para completar o cenário de caos, no mesmo período, o grupo fez uma campanha de phishing voltada para roubar informações de cartão de crédito de clientes do banco. Um e-mail levava o usuário para o site sequestrado para atualizar seu