Quando o cibercrime vira serviço: o que o caso EvilTokens nos ensina sobre as ameaças atuais

Recentemente, a Microsoft anunciou a desarticulação de uma plataforma criminosa conhecida como EvilTokens, associada ao comprometimento de mais de 12 mil caixas de correio corporativas em milhares de organizações ao redor do mundo.

O caso chamou atenção tanto pela escala da operação, quanto pelo modelo de negócio utilizado pelos criminosos.

À primeira vista, muitos imaginam ataques cibernéticos como algo realizado por especialistas extremamente qualificados, trabalhando em ambientes complexos e utilizando ferramentas desenvolvidas sob medida.

Embora esse tipo de ameaça continue existindo, a realidade atual é ainda mais preocupante: o crime digital está passando por um processo de industrialização.

A investigação revelou que o EvilTokens funcionava como um serviço comercial. Havia planos de assinatura, suporte, ferramentas prontas para uso e até funcionalidades baseadas em inteligência artificial para auxiliar criminosos a identificar oportunidades de fraude e roubo de informações.

Em outras palavras, parte significativa do conhecimento técnico necessário para a execução desses ataques já não precisava estar do lado do “bandido”, era entregue as a service…

O fim do mito do "hacker gênio"

Durante muito tempo, o imaginário popular associou incidentes cibernéticos a figuras altamente especializadas, capazes de desenvolver códigos complexos e explorar vulnerabilidades sofisticadas. Casos como esse mostram uma mudança de paradigma.

Hoje, basta que um indivíduo mal-intencionado disponha de recursos financeiros relativamente modestos para contratar serviços, adquirir kits prontos e utilizar plataformas que automatizam grande parte do trabalho anteriormente realizado por especialistas.

A lógica é semelhante à transformação observada em diversos mercados digitais. Assim como empresas contratam softwares em modelo SaaS para melhorar produtividade, criminosos passaram a contratar serviços especializados para viabilizar golpes, fraudes e roubos de dados. A tecnologia remove barreiras de entrada e amplia o alcance dessas operações.

O resultado é um cenário no qual mais pessoas podem realizar ataques com menor conhecimento técnico, aumentando significativamente o volume e a frequência das tentativas de fraude.

A inteligência artificial como acelerador

Outro aspecto relevante do caso foi o uso intensivo de inteligência artificial.

Segundo as informações divulgadas, a plataforma era capaz de analisar conteúdos de caixas de correio comprometidas, identificar relacionamentos de confiança, localizar conversas relacionadas a pagamentos e sugerir abordagens para aumentar as chances de sucesso dos golpes.

Isso representa uma mudança importante na natureza das ameaças atuais.Anteriormente, muitos golpes dependiam de análise manual por parte dos criminosos.

Agora, a capacidade de processar grandes quantidades de informação em segundos permite identificar rapidamente quais vítimas apresentam maior potencial de retorno financeiro.Não se trata apenas de automatizar ataques. Trata-se de automatizar a tomada de decisão criminosa.

A profissionalização do crime digital

Talvez a principal lição desse episódio seja que o cibercrime está se tornando cada vez mais parecido com um negócio convencional. As plataformas criminosas já oferecem:

• Modelos de assinatura;
• Painéis de gerenciamento;
• Ferramentas automatizadas;
• Suporte aos usuários;
• Atualizações constantes;
• Integrações com outros serviços.

Essa profissionalização cria um ambiente em que novas ameaças surgem com maior velocidade e chegam ao mercado criminoso já prontas para uso.

O risco para as organizações reside justamente na ampliação da quantidade de pessoas capazes de conduzir ameaças latentes de forma bem-sucedida.

O que isso significa para as empresas?

A principal conclusão é que segurança da informação não pode mais ser encarada apenas como uma preocupação tecnológica.

Ferramentas continuam sendo fundamentais, mas precisam estar associadas a monitoramento, governança, conscientização dos usuários e capacidade de resposta a incidentes.

Também se torna cada vez mais importante assumir que tentativas de ataque ocorrerão. Como já foi dito por aqui muitas vezes… pergunta deixou de ser "se" uma organização será alvo de uma tentativa de fraude e passou a ser "quando" isso acontecerá.

Assim, elevar continuamente o nível de maturidade em segurança deixa de ser uma iniciativa pontual e passa a fazer parte da estratégia operacional da empresa.

Um alerta para o futuro

O caso EvilTokens é significativo porque demonstra uma tendência que deve se intensificar nos próximos anos: a transformação de capacidades avançadas de ataque em serviços comercialmente acessíveis.

A combinação entre inteligência artificial, automação e modelos de assinatura está reduzindo drasticamente as barreiras de entrada para atividades criminosas. Consequentemente, organizações de todos os portes, e naturalmente, de acordo com isso em escalas distintas, precisarão investir cada vez mais em prevenção, detecção e resposta a incidentes para acompanhar a evolução desse cenário.

O desafio está em lidar com um mercado clandestino que transforma conhecimento técnico avançado em produtos prontos para consumo.

E essa talvez seja a mudança mais importante de todas. O cibercrime deixou de depender exclusivamente de especialistas. Hoje, cada vez mais, ele funciona como um serviço. E, como qualquer serviço bem-sucedido, seu objetivo é ganhar escala.

A boa notícia é que ameaças desse tipo podem ter seu impacto significativamente reduzido com a combinação adequada de tecnologia, processos e conscientização. Muitos dos controles recomendados já fazem parte das boas práticas que implementamos em nossos clientes. Ao mesmo tempo, cada organização possui necessidades, riscos e objetivos distintos, e a jornada de segurança pode ser continuamente aprimorada à medida que cresce a demanda consciente por níveis mais elevados de proteção e governança em nossos clientes.

fontes: The Hacker News e Bleeping Computer