Malware em caixas eletrônicos provoca prejuízo de US$ 40,7 milhões, dizem autoridades dos EUA
Um esquema de ataques a caixas eletrônicos que usa software malicioso para forçar a liberação de dinheiro teria causado perdas de US$ 40,7 milhões nos Estados Unidos. O Departamento do Tesouro norte-americano anunciou sanções contra dez pessoas acusadas de integrar a estrutura financeira ligada às operações. Autoridades dos EUA relacionam o esquema ao grupo criminoso venezuelano Tren de Aragua.
O Escritório de Controle de Ativos Estrangeiros (OFAC), órgão do Tesouro responsável pela aplicação de sanções, incluiu na lista cidadãos venezuelanos e empresas que estariam sob o controle de pessoas investigadas. Segundo o governo, essas organizações teriam ajudado a lavar o dinheiro obtido em ataques a dezenas de terminais.
As autoridades identificaram pelo menos 1.500 ocorrências do chamado *ATM jackpotting*, técnica em que criminosos comprometem o sistema de um caixa eletrônico e fazem o equipamento dispensar as cédulas armazenadas. Para o Tesouro dos EUA, a prática se tornou uma fonte importante de recursos para o Tren de Aragua.
Como funciona o ataque aos caixas eletrônicos
Imagens divulgadas por promotores e pelo Departamento do Tesouro mostram suspeitos abrindo a parte superior de caixas eletrônicos, conectando computadores portáteis aos equipamentos e instalando o malware. Depois da infecção, o programa envia comandos que levam o terminal a liberar dinheiro sem uma transação legítima.
O ataque exige acesso físico ao equipamento, diferentemente de golpes realizados apenas pela internet. Isso pode tornar mais vulneráveis os caixas instalados em locais isolados ou com menor vigilância. O FBI afirma que equipes ligadas ao esquema teriam priorizado justamente terminais em áreas remotas dos Estados Unidos.
O malware mencionado pelas autoridades é o Ploutus, uma família de programas maliciosos monitorada por pesquisadores e órgãos governamentais há quase uma década. Análises do Google já a classificaram entre as ameaças mais sofisticadas observadas contra caixas eletrônicos.
Suspeitas sobre o desenvolvedor e os vínculos criminosos
O FBI aponta Anibal Alexander Canelon Aguirre como desenvolvedor do Ploutus e o incluiu em sua lista de pessoas mais procuradas. Ele é acusado de organizar equipes para atacar terminais nos Estados Unidos. O Tesouro afirma também possuir fotografias de Aguirre ao lado de valores que seriam provenientes de crimes de *ATM jackpotting*.
Apesar das acusações oficiais, a ligação técnica entre o malware, o Tren de Aragua e Aguirre não foi estabelecida de forma independente. Especialistas que examinaram o caso não encontraram evidências técnicas conclusivas que comprovem essa relação. Assim, as conexões apresentadas pelas autoridades devem ser entendidas como parte das alegações da investigação, e não como um vínculo confirmado por análises independentes.
Lavagem de dinheiro e uso de criptomoedas
De acordo com o governo norte-americano, os valores obtidos nos ataques teriam sido repassados a integrantes responsáveis por esconder sua origem. Entre os métodos citados estão operações com criptomoedas e empresas controladas por pessoas envolvidas no esquema, no México e em outros países.
A empresa de análise de blockchain Chainalysis identificou que recursos associados aos ataques circularam por canais também usados para movimentar dinheiro do tráfico de drogas. A companhia relatou ainda que carteiras vinculadas ao Tren de Aragua tiveram contato com estruturas de lavagem relacionadas a cartéis colombianos e mexicanos.
A análise aponta para uma infraestrutura financeira compartilhada por diferentes organizações criminosas da América Latina, com transações que incluem stablecoins – criptomoedas projetadas para manter valor relativamente estável. O uso desses ativos pode facilitar transferências entre países, mas as movimentações registradas em uma blockchain também podem deixar rastros passíveis de análise.
As sanções anunciadas pelo Tesouro são parte de uma ofensiva mais ampla contra a rede suspeita. Pelo menos 98 pessoas já foram indiciadas por suposta participação em operações relacionadas ao malware. Além disso, cinco homens se declararam culpados, no mês anterior ao anúncio, de acusações ligadas ao caso.
O que o caso revela sobre a segurança dos terminais
O *ATM jackpotting* combina invasão física e exploração tecnológica: os criminosos precisam alcançar o equipamento, mas dependem de falhas ou acessos que permitam interferir em seu funcionamento. Por isso, a proteção não se limita ao software. Controle de acesso, alarmes, monitoramento e inspeções regulares também são medidas relevantes para reduzir o risco.
Bancos e operadores de caixas eletrônicos podem diminuir a exposição mantendo os sistemas atualizados, restringindo portas e conexões externas e monitorando alterações incomuns no equipamento. A detecção de tentativas de abertura, dispositivos conectados sem autorização ou comandos atípicos pode ajudar a interromper uma ação antes que o dinheiro seja retirado.
Para os clientes, um ataque desse tipo não significa necessariamente que dados bancários ou senhas foram roubados. O método descrito se concentra em manipular o terminal para liberar cédulas. Ainda assim, diante de um caixa danificado, aberto ou com comportamento estranho, a recomendação é não utilizá-lo e informar imediatamente a instituição responsável ou a equipe do local.
O caso também demonstra que o combate ao crime financeiro depende de várias frentes. Além de identificar quem instala o malware, investigadores precisam rastrear o dinheiro, apurar o papel de empresas intermediárias e verificar como recursos passam de um país a outro. As sanções buscam dificultar essas operações, enquanto os processos criminais devem determinar a responsabilidade de cada acusado.