WeLeakInfo.com, um domínio que vendeu acesso a dados privados, foi apreendido pelo FBI

WeLeakInfo Domain Seized

Todos sabemos que os cibercriminosos compram e vendem dados pessoais roubados todos os dias e tentamos nos convencer de que fizemos o suficiente para garantir que nossas próprias informações não terminem nas mãos erradas. Embora muitos de nós não saibamos o custo real, tendemos a assumir erroneamente que bandidos pagam quantias significativas em dinheiro por nossas informações pessoais, mas um serviço on-line chamado WeLeakInfo.com revelou que esse não é realmente o caso.

Felizmente, os cibercriminosos empreendedores com orçamento limitado ficarão desapontados ao descobrir que o WeLeakInfo não existe mais. Ontem, o Federal Bureau of Investigation apreendeu o domínio depois que uma investigação internacional revelou que o site está envolvido em algumas atividades ilegais. A operação envolveu as unidades de crimes cibernéticos das agências de aplicação da lei nos EUA, Reino Unido, Holanda e Alemanha e, além de derrubar o site, também resultou na prisão de um casal de 22 anos na Irlanda do Norte e Holanda. Vamos ver como eles acabaram nessa bagunça.

O que o WeLeakInfo fez?

WeLeakInfo costumava se anunciar como um serviço de alerta de violação de dados. Sua página inicial era dominada por um campo de pesquisa bastante grande, no qual você digitava seu nome de usuário, endereço de email, senha ou outros detalhes pessoais. As informações inseridas serão verificadas em relação a uma enorme coleção de bancos de dados roubados e vazados durante violações de dados em várias organizações e, se houver uma correspondência, o serviço informará. De acordo com o perfil do WeLeakInfo no Twitter (que ainda está ativo no momento da redação), os operadores do site conseguiram coletar 12 bilhões de registros vazados durante nada menos que 10 mil violações de dados. Existe algo moral ou legalmente errado em toda a operação?

Se feito corretamente, esse tipo de serviço pode ajudar as pessoas a melhorar sua segurança online. De fato, Troy Hunt, um dos nomes mais influentes do setor de segurança cibernética, deve uma parte não-insignificante de sua fama a uma plataforma semelhante chamada HaveIBeenPwned, que ele lançou em 2013. Como WeLeakInfo, o HaveIBeenPwned permite que os usuários verifiquem se seus detalhes pessoais (endereço de e-mail e senha no caso do serviço da Hunt) foram expostos durante uma violação de dados. Em face disso, os dois serviços são praticamente idênticos.

Por que, então, um deles trouxe ao proprietário um status de celebridade, enquanto o outro colocou seus supostos operadores algemados?

Por que o WeLeakInfo foi desligado?

Uma das razões pelas quais o HaveIBeenPwned é tão bem-sucedido é porque ele possui vários mecanismos projetados para manter a privacidade das vítimas de violação de dados o mais segura possível. WeLeakInfo, por outro lado, estava ganhando dinheiro com isso.

O site apreendido oferecia três planos de assinatura paga, que davam aos clientes um passe de acesso total ao enorme corpus de dados no qual o serviço se baseava. Em outras palavras, qualquer pessoa com alguns dólares extras no bolso poderia ir ao WeLeakInfo, pagar por um plano e pesquisar e baixar quantos dos 12 bilhões de registros roubados quisessem. O único fator limitante era o tempo e dependia do plano escolhido pelo cliente. A assinatura mais barata deu aos clientes do WeLeakInfo acesso aos dados por apenas um dia, mas também havia planos para uma semana, um mês e três meses.

Ainda existem algumas incógnitas. Não está claro, por exemplo, se todos os 12 bilhões de registros continham senhas. Também não temos idéia de qual parte das senhas foi armazenada em texto sem formatação. Citando a investigação em andamento como uma razão, as agências de aplicação da lei se recusaram a fornecer detalhes sobre a popularidade do WeLeakInfo, o que significa que é difícil estimar o tamanho do dano potencial. A operação policial pode ser um bom indicador, no entanto, de que o perigo era muito real.

Ao interromper a operação WeLeakInfo, as agências de combate ao crime cibernético também nos deram uma boa idéia de quanto custa os dados roubados de usuários inocentes da Internet. O plano mais caro do WeLeakInfo deu aos assinantes acesso a 12 bilhões de registros roubados por um total de três meses e custou US $ 70. Isso, caso você ainda não tenha calculado, equivale a menos de US $ 0,80 por dia.

January 17, 2020

Deixe uma Resposta