Condenam o negociador de Karakurt o novo rosto da extorsão digital que explora dados sensíveis

A condenação a 8,5 anos de prisão imposta nos Estados Unidos ao cidadão letão Deniss Zolotarjovs marca um precedente na luta contra as redes de extorsão digital: foi condenado pelo seu papel como negociador — um chamado “negociador de casos frios” — dentro da banda de extorsão Karakurt, um grupo associado a antigos líderes do ransomware Conti. Arrestado na Geórgia em dezembro de 2023 e extraditado para os EUA. Nos EUA, Zolotarjovs reconheceu a sua participação numa operação que, segundo documentos judiciais, usou dados roubados para pressionar vítimas e reabrir negociações já abandonadas pelas organizações afetadas. Mais detalhes oficiais estão disponíveis no comunicado do Departamento de Justiça aqui.

Este caso não é apenas uma notícia judicial: revela uma evolução tática preocupante. Os extorsionadores não se limitam a cifrar sistemas; especializam-se em investigação psicológica das vítimas e da exploração de dados sensíveis — incluindo, segundo a Procuradoria, informação sanitária infantil — para aumentar a pressão e forçar pagamentos muito tempo após o ataque inicial. Os documentos apresentados no processo e os cargos mostram como a ex-filtração e a ameaça de divulgação tornaram-se ferramentas permanentes do crime organizado; a denúncia pode ser consultada no processo público aqui.

Os números parciais que o governo norte-americano salientam a magnitude: apenas um subconjunto de vítimas documentadas registou perdas por dezenas de milhões de dólares, e as autoridades estimam que os números reais poderiam situar-se. centenas de milhões devido ao sub-registo de incidentes. Esse sub-registo é fundamental: muitas empresas não informam por medo da reputação ou sanções regulatórias, o que reduz a capacidade coletiva para compreender padrões e parar os perpetradores.

A detenção e condenação de Zolotarjovs também evidenciam a importância da Cooperação internacional e as extradições em crimes cibernéticos. Que seja o primeiro membro de Karakurt julgado e sentenciado em EE. A América aponta para uma estratégia das autoridades para fragmentar e desmantelar redes que atuam de várias jurisdições, e poderia acelerar pesquisas contra outros integrantes da organização e grupos satélite com os quais trabalhava, como Conti, Royal e outros.

Para as organizações, a lição é dupla: prevenir intrusões e preparar-se para a extorsão posterior à filtração. Para além de medidas técnicas — segmentação de redes, detecção com EDR, autenticação multifator e adesivos — é imprescindível contar com cópias de segurança imutáveis e offline, um plano de resposta a incidentes comprovados e canais legíveis para preservação de provas e notificação às autoridades competentes. A equipe legal e de comunicações deve ser integrada na resposta a partir do primeiro minuto para cumprir requisitos regulatórios, em particular quando se administram dados sanitários ou pessoais.

Se a sua organização sofre de uma intrusão, adopte uma postura firme, mas metódica: preserve registros e evidências forenses, isole sistemas comprometidos, avalie a extensão da exfiltração e contacte uma equipe de resposta profissional e as forças da ordem. O guia do governo para mitigar e responder ao ransomware contém recursos práticos e recomendados; você pode consultar no site da CISA StopRansomware. No caso de dados de saúde, além disso, existem obrigações específicas de notificação que devem ser revistas com aconselhamento especializado e regulamentar.

A utilização deliberada de informações sensíveis de menores por parte dos extorsionadores destaca também um componente ético e de risco reputacional que as organizações devem contemplar ao projetar sua governança de dados: a proteção pró-ativa de dados pessoais e de saúde deve deixar de ser um adesivo e tornar-se uma prioridade estratégica, com controles de acesso, criptografia e minimização de retenção.

No plano global, a sentença mostra que perseguir os atores por trás da extorsão digital é possível e pode ter impacto dissuasivo, mas não substitui a necessidade de resiliência empresarial. As empresas devem investir na prevenção, em exercícios de tabletop que incluam cenários de “casos frios” e em acordos claros com fornecedores de resposta e seguros cibernéticos – sempre com critérios rigorosos sobre a gestão de crises e a tomada de decisões.

Finalmente, a segurança é uma responsabilidade partilhada: informar incidentes às autoridades facilita a acumulação de inteligência que ajuda a capturar aqueles que operam estas redes e a proteger outros potenciais brancos. Para mais recursos sobre notificação e obrigações no domínio da saúde, a web do Departamento de Saúde e Serviços Humanos dos EUA. A América oferece orientação sobre a notificação de lacunas em dados de saúde aqui. A condenação de Zolotarjovs é um lembrete de que a luta legal contra as bandas de ransomware avança, mas a melhor defesa continua sendo uma estratégia abrangente de prevenção, detecção e resposta.