Operação internacional derruba LeakBase e prende criminosos cibernéticos

A Operação Internacional Leak não foi só uma ação pontual contra um fórum: foi o primeiro desmantelamento coordenado de um mercado de credenciais que operava abertamente na web clara, não apenas na dark web. O LeakBase, ativo desde 2021, funcionava como uma espécie de 'Loja Americano do cibercrime', com interface amigável, sistema de reputação, suporte técnico e até política de devolução para compradores insatisfeitos. Seu alcance era incomum: mais de 142 mil membros registrados em dezembro de 2025, com 32 mil publicações e 215 mil mensagens privadas, volume que supera muitos fóruns especializados em hacking ético.

O que torna o caso crítico para empresas brasileiras é o tipo de dado comercializado: além de milhões de credenciais, havia logs de infostealers com dados de contas corporativas, documentos fiscais (como CPFs, CNPJs e notas fiscais eletrônicas) e até extratos bancários com agência e conta. A PJ portuguesa já identificou transações envolvendo cartões de pagamento com origem em instituições financeiras latino-americanas, incluindo duas emissoras brasileiras, sinal de que os dados estavam sendo testados e monetizados no nosso continente antes mesmo da operação.

Empresas que não monitoram vazamentos em fóruns como o LeakBase estão expostas a ataques direcionados de credential stuffing, phishing personalizado e invasão de contas administrativas, sem precisar de exploração técnica avançada. Diferente de brechas em sistemas, esses ataques usam credenciais reais, o que evita detecção por firewalls e WAFs. A apreensão dos metadados dos 142 mil usuários também revela padrões de compra: 68% dos acessos ao fórum vinham de dispositivos com IPs residenciais brasileiros, argentinos e mexicanos, indicando que o público-alvo final desses dados não eram só empresas globais, mas também consumidores e PMEs da América Latina.