O FBI desarticulou parte de uma rede de hackers ligada à Coreia do Norte que utilizava golpes digitais e roubos de criptomoedas para financiar atividades do regime de Kim Jong-un, incluindo seu programa de armas. A operação foi anunciada pelo Departamento de Justiça dos Estados Unidos na quinta-feira (12) e atingiu uma estrutura criminosa responsável pelo desvio de mais de US$ 400 milhões em ativos digitais nos últimos 18 meses.
A ação teve como principal alvo o FaceStealer, esquema que utilizava reuniões virtuais falsas, vídeos manipulados por inteligência artificial e programas maliciosos para invadir computadores. Os investigadores identificaram ataques contra profissionais e empresas dos setores de criptomoedas, tecnologia e desenvolvimento de software.
Além de apreender a infraestrutura digital utilizada pelos criminosos, as autoridades americanas anunciaram medidas para recuperar parte dos bilhões de dólares roubados da corretora Binance em outubro. Segundo o governo americano, o dinheiro obtido nessas operações ajuda a financiar programas militares norte-coreanos que estão sujeitos a sanções internacionais.
FBI atribui à Coreia do Norte roubo de US$ 6,3 bilhões em criptomoedas da Binance
Como funcionava o golpe dos hackers norte-coreanos?
O esquema FaceStealer utilizava uma estratégia conhecida como engenharia social, na qual criminosos manipulam a confiança das vítimas para obter acesso a informações ou sistemas protegidos.
Segundo o Departamento de Justiça americano, os hackers enviavam convites para reuniões virtuais utilizando contas de pessoas que já haviam sido vítimas de ataques anteriores.
Durante as chamadas, os criminosos exibiam gravações de contatos conhecidos ou vídeos falsos produzidos com inteligência artificial, chamados de deepfakes. O objetivo era fazer os participantes acreditarem que estavam conversando com colegas, parceiros comerciais ou profissionais de confiança.
Em determinado momento, os hackers simulavam um problema técnico, como uma falha no microfone, e orientavam a vítima a acessar um link ou instalar uma suposta ferramenta de correção.
Na realidade, o procedimento instalava um programa malicioso no computador, permitindo que os criminosos acessassem informações, roubassem criptomoedas e explorassem outros sistemas conectados ao equipamento.
Em alguns casos, os ataques continuavam meses depois da invasão inicial. Os criminosos também conseguiam acessar listas de contatos e contas de comunicação para encontrar novas vítimas.
FBI apreendeu mais de 900 vídeos utilizados pelos criminosos
Durante a investigação, agentes federais apreenderam mais de 900 gravações de webcams associadas às vítimas do FaceStealer.
As imagens eram utilizadas para reproduzir a aparência de pessoas reais durante reuniões falsas, aumentando a credibilidade dos golpes.
O FBI também identificou tentativas de invasão contra profissionais responsáveis pelo desenvolvimento e pela manutenção de programas de código aberto, utilizados por empresas e desenvolvedores em diferentes partes do mundo.
A preocupação das autoridades é que o acesso a esses sistemas permita ataques contra cadeias de fornecimento de software, atingindo não apenas uma empresa, mas também organizações que utilizam seus programas.
Entre os grupos associados às operações estão Sapphire Sleet, BlueNoroff, APT38 e Stardust Chollima, nomes utilizados por pesquisadores de segurança para identificar diferentes atividades de hackers norte-coreanos.
Dinheiro roubado seria usado para financiar armas
De acordo com o governo dos Estados Unidos, as operações cibernéticas fazem parte de uma estratégia da Coreia do Norte para obter recursos financeiros e sustentar atividades que enfrentam restrições internacionais.
O país é alvo de sanções relacionadas ao desenvolvimento de armas nucleares e mísseis balísticos. Segundo as autoridades americanas, os roubos de criptomoedas ajudam o regime a movimentar grandes quantias de dinheiro fora dos canais financeiros tradicionais.
O diretor de operações cibernéticas do FBI, Brett Leatherman, afirmou que o FaceStealer roubou mais de US$ 400 milhões em criptomoedas durante os últimos 18 meses.
A investigação aponta que os ataques se concentravam especialmente em pessoas envolvidas com criptomoedas e tecnologias financeiras descentralizadas, conhecidas como Web3.
O uso de carteiras digitais e plataformas de transferência também pode dificultar a recuperação do dinheiro, principalmente quando os valores são movimentados por diferentes redes e serviços.
Estados Unidos bloqueiam bilhões ligados ao ataque à Binance
A operação anunciada nesta semana também incluiu medidas contra outra campanha criminosa atribuída à Coreia do Norte.
Segundo o Departamento de Justiça, integrantes de uma estrutura militar norte-coreana, identificados pelo FBI como TraderTraitor, roubaram mais de US$ 6 bilhões em ativos digitais da Binance por volta de 29 de outubro.
Após o ataque, autoridades americanas e empresas do setor financeiro começaram a rastrear e bloquear as criptomoedas desviadas.
Até o anúncio de quinta-feira (12), mais de US$ 2,7 bilhões haviam sido congelados por meio de esforços conjuntos do governo e do setor privado.
Desse montante, a Justiça americana já havia autorizado a apreensão ou restrição de mais de US$ 1,2 bilhão.
É importante destacar que o FaceStealer e o ataque à Binance são operações distintas, embora ambos tenham sido associados pelas autoridades americanas a atividades cibernéticas da Coreia do Norte.
Como evitar golpes em reuniões virtuais?
A investigação também serve de alerta para empresas e usuários de plataformas de videoconferência.
Os criminosos demonstraram que não precisam necessariamente explorar uma falha complexa de segurança para conseguir acesso a computadores. Em muitos casos, basta convencer a vítima a executar uma ação aparentemente inofensiva.
Entre os cuidados recomendados estão verificar a identidade de participantes de reuniões, desconfiar de solicitações inesperadas para instalar programas e evitar executar comandos enviados por contatos sem confirmar sua autenticidade.
O uso de autenticação em duas etapas e a atualização de sistemas também ajudam a reduzir os riscos.
A utilização de vídeos falsos torna esses golpes especialmente perigosos, já que reconhecer o rosto ou ouvir a voz de uma pessoa conhecida não garante mais que a comunicação seja verdadeira.
Próximos passos
O FBI informou que continuará investigando os responsáveis pelas operações e trabalhando para recuperar os ativos digitais roubados.
As autoridades também criaram uma página específica sobre o FaceStealer, com informações sobre o funcionamento do golpe e orientações para possíveis vítimas.
A apreensão da infraestrutura digital representa um avanço contra o esquema, mas não significa que todas as atividades de hackers ligados à Coreia do Norte tenham sido encerradas.
As investigações continuam, especialmente para identificar novas estruturas utilizadas nos ataques e impedir que os recursos obtidos ilegalmente sejam movimentados para financiar atividades do regime norte-coreano.
