Iraniano acusado de roubar 31 TB de dados de universidades é extraditado aos EUA
Amir Barati, iraniano e turco de 40 anos, foi extraditado de Montenegro para os Estados Unidos, onde deverá responder a acusações de participação em uma campanha internacional de invasões digitais. Promotores americanos atribuem ao grupo o roubo de pelo menos 31 terabytes de materiais acadêmicos e de propriedade intelectual.
Barati foi detido em 25 de junho, enquanto passava férias em Kotor, cidade montenegrina na costa do Adriático. A prisão ocorreu após a emissão de um mandado pelo FBI. Nesta semana, um tribunal do país autorizou definitivamente sua transferência às autoridades dos Estados Unidos.
Em agosto, o Departamento de Justiça americano incluiu Barati em uma denúncia com 14 acusações, que envolve 17 pessoas. Segundo os promotores, a operação teria sido conduzida por meio do Mabna Institute, uma empresa iraniana, e realizada em benefício da Guarda Revolucionária Islâmica do Irã (IRGC).
A investigação aponta Barati como um dos integrantes de destaque da campanha. Ele teria ajudado a escolher alvos, examinar redes de instituições, preparar mensagens fraudulentas e acompanhar tentativas de spear phishing – ataques direcionados que usam informações sobre a vítima para aumentar a chance de obter uma resposta.
De acordo com a acusação, o grupo também compartilhava entre seus membros as credenciais obtidas ilegalmente. Com esses dados, os invasores acessavam contas de professores e, a partir delas, sistemas e recursos acadêmicos restritos.
A campanha teria afetado 144 universidades e 42 empresas nos Estados Unidos, além de 178 universidades e ao menos 11 empresas em outros países. Entre 2013 e 2017, aproximadamente 8 mil contas de e-mail de professores teriam sido comprometidas.
Os materiais supostamente obtidos incluíam artigos científicos, teses, dissertações, livros eletrônicos e outros documentos de diferentes áreas do conhecimento. As autoridades estimam que os prejuízos totais atribuídos às atividades do grupo cheguem a US$ 3,4 bilhões.
Segundo os promotores, parte dos arquivos foi entregue ao governo iraniano. Outra parcela teria sido vendida em duas plataformas voltadas a universidades do Irã. Uma delas oferecia aos clientes acesso a bibliotecas digitais de instituições americanas por meio de contas comprometidas de professores.
As instituições afetadas teriam gasto cerca de US$ 20 milhões na investigação dos incidentes e na recuperação dos sistemas. Esse tipo de resposta pode incluir a identificação das contas invadidas, a redefinição de senhas, a revisão de permissões e a análise de eventuais cópias ou transferências de arquivos.
Barati enfrenta acusações relacionadas a conspiração para invadir computadores, fraude eletrônica, fraude computacional e roubo de identidade. As imputações são alegações apresentadas pelos promotores; caberá à Justiça analisar as provas e determinar sua responsabilidade no processo.
O caso também evidencia por que universidades são alvos atraentes para grupos de espionagem e fraude digital. Instituições acadêmicas concentram pesquisas inéditas, bancos de dados especializados e projetos financiados por empresas ou governos. Ao mesmo tempo, costumam conectar muitos usuários, departamentos e sistemas diferentes, o que torna mais complexa a proteção de toda a rede.
A exposição de uma conta de e-mail pode ter consequências que vão além da troca de mensagens. Se ela estiver vinculada a serviços internos, bibliotecas digitais ou plataformas de pesquisa, os invasores podem tentar ampliar o acesso e localizar informações de maior valor. Por isso, credenciais acadêmicas roubadas podem funcionar como uma porta de entrada para outros recursos institucionais.
Entre as medidas capazes de reduzir esse risco estão a autenticação multifator, o uso de senhas exclusivas e a revisão periódica das permissões concedidas a funcionários, pesquisadores e estudantes. Treinamentos também ajudam a identificar mensagens que simulam comunicações legítimas, especialmente quando solicitam acesso urgente ou o fornecimento de dados de login.
A segurança depende ainda de procedimentos rápidos para comunicar suspeitas. Uma mensagem inesperada com anexos, páginas de acesso incomuns ou pedidos de senha deve ser verificada antes de qualquer interação. Quando uma conta pode ter sido comprometida, a instituição precisa bloquear ou redefinir o acesso e investigar se outros serviços foram alcançados.
O veículo Iran International atribuiu a Barati um histórico anterior de atividades hackers no Irã. Segundo essa publicação, ele teria participado da criação dos grupos Iran Black Hats Team e Digital Boys Underground Team, associados a ataques contra organizações como Microsoft e MIT. Essas informações fazem parte do histórico relatado pela imprensa e não substituem a análise das acusações atuais.
Ainda de acordo com o veículo, Barati teria sido preso pelo Ministério da Inteligência iraniano em 2010 e pressionado a trabalhar para o órgão durante vários anos. Mais tarde, deixou o Irã, mudou de nome em 2021 e obteve cidadania turca. Com a extradição, o processo nos Estados Unidos poderá avançar para a análise judicial das acusações relacionadas à campanha contra universidades e empresas.