Entidade governamental dos EUA paga US$1 milhão a hackers do Kairos em caso de extorsão sem criptografia

Um caso recente envolvendo uma entidade governamental dos EUA, supostamente o Condado de Union, Ohio, ilustra a evolução das táticas de extorsão cibernética. O grupo Kairos recebeu um pagamento de aproximadamente US$ 1 milhão em Bitcoin. A diferença é que a extorsão ocorreu sem criptografia de arquivos. O foco do ataque foi a exfiltração de dados sensíveis, totalizando mais de 2 TB de informação e cerca de 1,6 milhão de arquivos, muitos deles relacionados ao escritório de promotores. A ameaça: publicar esses dados confidenciais se o resgate não fosse pago.

A investigação aponta que a intrusão inicial do Kairos se deu por meio da adivinhação de senhas, uma falha de segurança básica. Após 28 dias de negociação, o condado efetuou o pagamento. O montante foi rapidamente pulverizado por meio de diversas carteiras e exchanges de criptomoedas, incluindo Bybit, OKX e BELQI, uma técnica comum para lavar dinheiro. Mesmo com o pagamento, a garantia de que os dados foram de fato apagados é duvidosa, já que os criminosos entregaram apenas uma "prova de exclusão" que não comprova nada sobre a real posse ou eliminação dos arquivos.

A grande mudança observada no cenário de ameaças é o declínio do ransomware tradicional baseado em criptografia em favor da extorsão pura por exfiltração de dados. Em 2025, a Sophos relatou que apenas cerca de metade dos ataques de "ransomware" envolviam criptografia, uma queda significativa em relação aos 70% do ano anterior e a menor taxa em seis anos. Isso indica uma preferência crescente dos cibercriminosos por extrair e ameaçar expor dados. Casos como o relatado pelo CEVIU News em julho de 2026 sobre o "Ataque cibernético expõe dados de oficiais do governo britânico" e, em junho de 2026, a notícia do "ShinyHunters reivindica invasão ao Conselho da Europa e exfiltra 429 mil arquivos sensíveis" são exemplos claros dessa transição.

Antigamente, o ataque parava a operação por completo, inutilizando os sistemas. Agora, os atacantes têm um método mais ágil, focando apenas no roubo de informações valiosas. Isso exige uma mudança no modelo de defesa das organizações, que precisam priorizar a prevenção da exfiltração de dados tanto quanto a proteção contra criptografia.

Este incidente mostra que a extorsão cibernética é uma ameaça real e dispendiosa, mesmo para entidades governamentais. A exposição de dados como números de Seguridade Social, impressões digitais e detalhes de passaporte de 45.487 pessoas representa um risco enorme para a privacidade dos cidadãos. O pagamento de US$ 1 milhão, feito com dinheiro público, sem garantia de eliminação dos dados, levanta sérias questões sobre a eficácia da resposta a esses ataques. A credibilidade de órgãos públicos é comprometida.

Para outras organizações, a lição é clara. Medidas básicas de segurança, como autenticação multifator (MFA) e monitoramento de tentativas de login falhas, são cruciais. A segmentação de redes e o monitoramento rigoroso de tráfego de saída também se tornam defesas indispensáveis. Em um cenário onde a ameaça de publicação de dados é a nova "arma", a proteção da informação se torna mais complexa e urgente.