No mundo da ciberespionagem, ataques hacker viraram coisa de filme, e um exemplo recente envolveu o FBI, a agência de inteligência e segurança dos Estados Unidos, cuja rede de gerenciamento de operações foi violada por um grupo associado ao governo da China. O grupo em questão é o Salt Typhoon, que atua como uma elite cibernética financiada pelo Estado chinês e não está nem um pouco interessada em roubar dados do seu cartão de crédito. O que eles realmente querem é atacar infraestruturas críticas de outros países e coletar informações sigilosas de governos e instituições.
Origem e batismo: por que o nome "typhoon"?
O nome escolhido para denominar o grupo chinês não veio à toa. A escolha por "Typhoon" tem base em uma nomenclatura usada pela Microsoft para designar ameaças globais. Enquanto grupos hackers da Rússia ganham nomes voltados para climas frios, como "Blizzard", e equipes iranianas recebem nomenclaturas associadas a tempestades de areia (Sandstorm), por exemplo, os hackers associados ao governo chinês são classificados como tufões, ou seja, "Typhoon".
Olhando para a origem do grupo em si, acredita-se que o Salt Typhoon surgiu em meados de 2020, mas suas ações criminosas só começaram a ganhar força por volta de 2024, período em que se tornaram conhecidos no universo do cibercrime. Diferente de outras equipes criminosas, o Salt Typhoon se destacou de outros grupos chineses pelo foco restrito a empresas de telecomunicações, provocando estragos gigantescos em infraestruturas a partir da coleta de dados confidenciais.
Modus operandi: o crime sem rastros
Para o Salt Typhoon, menos é mais: em vez de apostar em ataques de ransomware com a propagação de malware para sequestrar dados e solicitar um resgate em dinheiro, os criminosos são discretos e bastante técnicos. Como modus operandi, eles preferem ataques indiretos por meio de roteadores de provedores de internet, usando as próprias ferramentas do sistema visado para disfarçar a operação criminosa em meio ao tráfego legítimo.
Foi justamente isso que aconteceu no caso do FBI, o que evitou que sistemas de segurança fossem acionados. Chegando pela porta dos fundos, o Salt Typhoon consegue pegar muitas instituições de surpresa, passando por recursos de segurança sem serem detectados. Em alguns casos, é possível permanecer no sigilo roubando dados por meses ou até anos.
Hall da infâmia: de telecomunicações ao fbi
Antes de violar a rede do FBI, o Salt Typhoon obteve êxito em um ataque de grandes proporções contra as empresas AT&T e Verizon, duas gigantes de telecomunicações nos Estados Unidos. Datado de 2024, o caso transformou o grupo chinês em celebridade no mundo do crime digital depois que os hackers conseguiram acessar o sistema usado pela polícia americana para solicitar uma quebra de sigilo telefônico.
Por lei, operadoras americanas são obrigadas a manter uma infraestrutura que permite às autoridades do país, como o FBI, a realização de grampos autorizados pela justiça em investigações. Ao invadir o sistema das empresas, os hackers chineses passaram a ver exatamente quem o governo americano estava monitorando, podendo também interceptar essas conversas em tempo real.
Com esse poder em mãos, o Salt Typhoon começou a mapear as redes de contato de líderes americanos, obtendo acesso a comunicações estratégicas que expôs pessoas envolvidas em diversas operações governamentais.
O incidente do fbi e o sistema dcsnet
O incidente do FBI não foi muito diferente disso, já que os hackers tiveram a oportunidade de acessar dados confidenciais da agência com base na violação da rede, incluindo mandados da FISA, a Lei de Vigilância de Inteligência Estrangeira dos EUA. Responsável por supervisionar pedidos de mandados de vigilância contra espiões estrangeiros que estão dentro do país, a FISA é uma peça importante dos EUA para manutenção da segurança nacional.
Isso significa que, com dados da lei em mãos, o Salt Typhoon violou o mecanismo que faz com que ordens judiciais sejam gerenciadas. Dessa forma, os criminosos acessaram informações sobre quem os Estados Unidos estavam vigiando, podendo até mesmo alterar dados de investigações para proteger possíveis espiões infiltrados. O sistema comprometido poderia até mesmo ser usado contra os americanos com base na estrutura de grampos legais.
Implicações para o brasil e ameaças globais
A relevância deste caso para o Brasil e para profissionais de cibersegurança é imediata. O contexto de espionagem chinesa não se limita aos Estados Unidos. O próprio conteúdo da notícia aponta para campanhas anteriores onde hackers chineses usam Google Planilhas para espionar o governo brasileiro, demonstrando que a ameaça é global e transversal.
Para o mercado brasileiro, isso sinaliza que infraestruturas críticas, operadoras de telecomunicações e órgãos governamentais podem ser alvos de grupos similares. A tática de usar roteadores de provedores de internet para disfarçar operações criminosas em meio ao tráfego legítimo é uma técnica que pode ser replicada contra provedores locais, exigindo monitoramento avançado de tráfego de rede.
Impacto e alcance estratégico
Com essa e outras medidas, o Salt Typhoon vai mostrando como guerras vão muito além de ataques físicos: elas podem acontecer no ambiente digital, com cibercriminosos dispostos a fazer tudo que está ao alcance deles para manchar reputações, afetar infraestruturas críticas e modificar até mesmo a verdade dos fatos.
A capacidade de alterar dados de investigações e acessar mandados de vigilância representa um risco à integridade de processos judiciais e de inteligência. Para CISOs e executivos, o impacto não é apenas técnico, mas estratégico e legal, comprometendo a confiança em sistemas de segurança nacional e corporativa.
O que os cisos devem fazer imediatamente
Diante da exposição de falhas em sistemas de telecomunicações e governamentais, a prioridade deve ser a revisão de controles de acesso e monitoramento de tráfego em roteadores e gateways. A detecção de anomalias no tráfego legítimo é crucial, já que o grupo prefere ataques indiretos para disfarçar a operação.
Além disso, é fundamental revisar políticas de segurança de endpoints e servidores que gerenciam dados sensíveis, garantindo que não haja brechas que permitam acesso não autorizado a sistemas críticos como os de vigilância e coleta de dados. A conscientização sobre ameaças de estado-nação deve ser parte integrante da estratégia de segurança corporativa.
Perguntas frequentes
Qual o principal objetivo do Salt Typhoon?
O grupo foca em ciberespionagem e ataque a infraestruturas críticas, não em ransomware financeiro.
Como eles se disfarçam?
Usam as próprias ferramentas do sistema visado para disfarçar a operação criminosa em meio ao tráfego legítimo.
Quais setores estão mais vulneráveis?
Empresas de telecomunicações e órgãos governamentais que gerenciam dados de vigilância e inteligência.