EUA oferecem recompensa de até US$ 10 milhões por informações sobre líder cibernético iraniano
O governo dos Estados Unidos anunciou uma recompensa de até US$ 10 milhões por informações capazes de identificar ou localizar Amir Yaryab, apontado como comandante de uma estrutura de operações cibernéticas ligada à Guarda Revolucionária Islâmica do Irã, conhecida pela sigla IRGC.
De acordo com autoridades americanas, Yaryab exerce liderança sobre o Cyber Operations Command, integrado ao braço cibernético e eletrônico da organização iraniana. Sua função incluiria a coordenação de equipes responsáveis por campanhas de espionagem, sabotagem e invasão de redes consideradas estratégicas.
Entre as unidades associadas à sua cadeia de comando estão os grupos Shahid Hemmat e Shahid Shushtari. Esses núcleos são relacionados a operações contra empresas e órgãos dos setores de defesa, energia, telecomunicações, serviços financeiros, transporte, hotelaria e aviação. Os alvos teriam sido distribuídos pelos Estados Unidos, pela Europa e pelo Oriente Médio.
As acusações também vinculam Yaryab a estruturas relacionadas ao CyberAv3ngers, grupo conhecido por mirar sistemas industriais e dispositivos de tecnologia operacional. Esse tipo de ambiente é utilizado para controlar processos físicos, como distribuição de água, funcionamento de usinas, operações de transporte e atividades de manufatura.
A preocupação das autoridades não se limita ao roubo de dados. Ataques contra redes industriais podem interromper serviços essenciais, alterar parâmetros de funcionamento e provocar danos físicos. Em determinados cenários, uma invasão pode modificar a forma como operadores visualizam uma instalação ou interfere diretamente nos comandos enviados a equipamentos.
Um dos episódios atribuídos a agentes ligados ao IRGC envolveu controladores programáveis da Unitronics conectados à internet. Esses dispositivos são empregados em sistemas de automação e controle, inclusive em instalações de água e saneamento.
Entre novembro de 2023 e janeiro de 2024, pelo menos 75 equipamentos foram comprometidos. Desse total, 34 pertenciam a organizações americanas ligadas ao abastecimento de água ou ao tratamento de esgoto. Os ataques exploraram, principalmente, senhas padrão, credenciais fracas e dispositivos expostos sem mecanismos suficientes de proteção.
Em alguns casos, os invasores alteraram a lógica de controle dos equipamentos, modificaram credenciais usadas para acesso remoto e interferiram nas telas de interface apresentadas aos operadores. Essas mudanças podem dificultar a identificação de uma intrusão e induzir equipes técnicas a interpretar de maneira incorreta o estado real de uma instalação.
A exposição direta de controladores industriais à internet é considerada um dos principais fatores de risco nesse tipo de incidente. Muitos equipamentos foram projetados para funcionar em redes internas e não deveriam ser acessíveis publicamente sem segmentação, autenticação robusta e monitoramento contínuo.
Além das senhas iniciais, organizações precisam revisar contas antigas, desativar acessos que não sejam mais necessários e limitar permissões administrativas. A adoção de autenticação multifator, quando disponível, também reduz a possibilidade de que credenciais roubadas sejam utilizadas para alcançar ambientes críticos.
A separação entre redes corporativas e redes operacionais é outra medida essencial. Mesmo que um computador administrativo seja comprometido, a segmentação pode impedir que o invasor avance diretamente até controladores, sistemas supervisórios e painéis de operação.
Também é importante manter inventários atualizados dos ativos conectados. Sem saber quais dispositivos estão instalados, quais versões de software utilizam e quem tem acesso a eles, torna-se difícil corrigir vulnerabilidades ou identificar comportamentos anormais.
A recompensa foi anunciada por meio do programa Rewards for Justice, iniciativa americana destinada a obter informações sobre indivíduos envolvidos em atividades consideradas ameaças à segurança nacional. O benefício pode ser concedido a pessoas que forneçam dados úteis sobre integrantes, intermediários, estruturas de apoio ou operações cibernéticas realizadas sob orientação de governos estrangeiros.
O anúncio reforça a crescente importância geopolítica dos ataques digitais. Grupos estatais ou associados a governos vêm utilizando técnicas semelhantes às de organizações criminosas, mas com objetivos mais amplos, como coleta de inteligência, pressão política, desestabilização e preparação de futuras ações contra serviços essenciais.
Para empresas que administram infraestrutura crítica, a principal recomendação é tratar a segurança cibernética como parte da continuidade operacional. Firewalls, antivírus e políticas de senha são importantes, mas não substituem planos de resposta a incidentes, cópias de segurança, testes de restauração e treinamento das equipes.
A identificação rápida de alterações não autorizadas em controladores e interfaces também pode limitar os impactos. Registros de atividade, alertas sobre mudanças de configuração e validação periódica da lógica dos equipamentos ajudam a detectar ações suspeitas antes que elas causem interrupções maiores.