Acusações formais contra o Instituto Mabna
O Departamento de Justiça dos Estados Unidos (DOJ) desbloqueou uma acusação supersede de 14 contos contra 17 membros supostos do Instituto Mabna, baseado no Irã. O grupo é acusado de conduzir uma campanha de espionagem cibernética de longa duração que roubou pelo menos 31,5TB de dados de pesquisa e propriedade intelectual.
De acordo com a acusação, a operação começou por volta de 2013 e continuou até pelo menos dezembro de 2017. Os promotores alegam que o grupo trabalhou para clientes do governo iraniano e universidades, incluindo o Corpo da Guarda Revolucionária Islâmica (IRGC).
Alvos e Impacto
A campanha supostamente visou universidades, empresas privadas, agências governamentais e organizações não governamentais nos Estados Unidos e em outros países. O grupo mirou mais de 100.000 contas de professores globalmente e supostamente comprometeu cerca de 8.000 contas de e-mail acadêmicas.
As vítimas incluíram 144 universidades dos EUA e 178 universidades fora dos Estados Unidos. Instituições afetadas estavam localizadas em Austrália, Canadá, China, Europa, Oriente Médio, Ásia e Reino Unido. Os atacantes supostamente usaram e-mails de spearphishing para roubar credenciais de login de professores.
Monetização e Infraestrutura
Uma vez dentro das redes universitárias e portais de bibliotecas online, eles acessaram revistas acadêmicas, dissertações, teses, livros eletrônicos, artigos de pesquisa e outros recursos protegidos. O material roubado foi exfiltrado para infraestrutura controlada pelos supostos conspiradores fora dos Estados Unidos.
A operação também supostamente monetizou o acesso acadêmico roubado. Dois sites baseados no Irã, Megapaper.ir e Gigapaper.ir, foram usados para vender recursos roubados e acesso a contas universitárias comprometidas. O Megapaper supostamente vendia conteúdo acadêmico roubado para clientes no Irã.
Implicações para a Segurança
Além do setor acadêmico, a acusação alega que os operadores do Instituto Mabna miraram pelo menos 42 empresas do setor privado dos EUA, 11 empresas estrangeiras, cinco agências federais e estaduais dos EUA e várias organizações internacionais.
As vítimas nomeadas incluíram o Departamento de Trabalho dos EUA, a Comissão Federal de Regulação de Energia, os estados do Havaí e Indiana, as Nações Unidas e a UNICEF. Os acusados enfrentam acusações de conspiração para cometer intrusões em computadores, fraude por correio, acesso não autorizado para ganho financeiro privado e roubo de identidade agravado.