Detêm um suposto administrador de Phobos na Polônia em uma operação internacional que atinge a rede de ransomware

A polícia polaca parou um homem de 47 anos na região de Małopolska que, segundo as autoridades, estaria vinculado ao grupo de ransomware Phobos. A detenção foi realizada pela Central Bureau of Cybercrime Control (CBZC) em uma operação coordenada entre unidades de Katowice e Kielce e faz parte de uma ação internacional mais ampla sobre a qual aprofundaremos a seguir.

No registo domiciliar, os investigadores confiscaram computadores e telemóveis que, segundo o comunicado oficial da polícia polaca, continham credenciais, senhas, números de cartões de crédito e endereços IP de servidores. Esses elementos, somados a técnicas de comunicação criptografada com membros da organização, seriam suficientes para facilitar invasões e ataques de criptografia de dados.

As autoridades sublinham que a informação encontrada nos dispositivos pode ser usada para violar sistemas e executar ransomware. Essa mesma versão aparece na nota da CBZC, onde também se detalha que o detido teria empregado aplicativos de mensagens criptografadas para se comunicar com integrantes de Phobos: comunicado da CBZC.

Legalmente, o suspeito enfrenta acusações de produzir, adquirir e distribuir programas informáticos destinados a obter ilegalmente dados armazenados em sistemas informáticos, um crime recolhido no artigo 269b do Código Penal polaco que implica penas até cinco anos de prisão se a sua culpa for demonstrada.

Esta prisão não ocorre isoladamente. É parte de “Operation Aether”, um esforço internacional coordenado pela Europol e pela Eurojust para desmantelar a infra-estrutura e travar os afiliados do Phobos. A operação teve vários marcos: desde a extradição aos Estados Unidos de um suposto administrador de Phobos até a apreensão de servidores e prisões em diferentes países. A Europol resumiu alguns desses resultados e como foi notificado a centenas de empresas que estavam sendo atacadas ou eram objetivos iminentes: comunicado da Europol.

Phobos é um caso significativo dentro do ecossistema criminoso digital porque opera como ransomware-as-a-service (RaaS), um modelo em que desenvolvedores e operadores vendem ou alquilam ferramentas a afiliados que executam as invasões. Os especialistas da Cisco Talos explicaram a estrutura de afiliação e a derivação técnica de Phobos desde famílias de ransomware anteriores como Crysis: análise de Talos. Além disso, o Departamento de Justiça dos EUA tem ligado a este grupo com incidentes que afetaram mais de mil organizações em todo o mundo e com pagamentos de resgates milionários: nota DOJ.

As operações coordenadas entre países obtiveram resultados concretos: além de detenções e decomisos de servidores, foram disponibilizadas às vítimas ferramentas de recuperação. Um exemplo recente foi a publicação, em 2025, de uma decifração para Phobos e 8Base que as autoridades japonesas facilitaram para que vítimas recuperassem arquivos sem pagar resgates, uma medida analisada por meios especializados: Informação sobre a descodificação.

O que nos deixa esta cadeia de acontecimentos? Em primeiro lugar, que a perseguição dos responsáveis técnicos e das infra-estruturas por trás do ransomware é possível e pode reduzir a capacidade operacional destas redes. Mas também é claro que o roubo de credenciais e o tráfego de acessos continuam a ser a porta de entrada mais eficaz para os atacantes. Um único conjunto de usuários/contra-senhas exposto pode desencadear infecções em cascata se não houver controles adequados.

Para empresas e administradores isso significa que as medidas defensivas não devem concentrar-se apenas na resposta à cifra de arquivos. A prevenção e a higiene digital — congestionamento de acessos, autenticação multifator, segmentação de redes, cópias de segurança verificadas e atualizadas, e detecção precoce de atividades anormais — são as alavancas que reduzem o impacto e a probabilidade de intrusão.

Para além do técnico, a acção demonstra também o valor da cooperação internacional: partilhar inteligência, coordenar ordens judiciais e comunicar às possíveis vítimas foram factores decisivos para mitigar ataques e, em alguns casos, para recuperar dados sem pagar. Assim, os comunicados públicos das agências envolvidas, que combinaram investigação policial com assistência a organizações potencialmente afetadas.

O caso polonês é, portanto, uma peça mais dentro de uma campanha sustentada contra Phobos e outros operadores de ransomware. Mesmo quando as detenções e decomisos enfraquecem temporariamente essas células, a ameaça persistirá enquanto houver mercado para o acesso não autorizado e a economia do ransomware continuar a ser rentável para criminosos e afiliados. A lição para empresas e usuários é manter a guarda alta e trabalhar a segurança como um processo contínuo, não como um adesivo pontual.

Se você quer ler fontes oficiais e análises mencionadas neste artigo, aqui você tem links: o comunicado da CBZC da polícia polaca sobre a detenção ( CBZC), o relatório da Europol sobre a operação internacional ( Europol), análise técnica da Cisco Talos ( Talos), a nota do Departamento de Justiça dos EUA. EUA. ( JOJ) e a cobertura sobre a decifração divulgada no Japão ( BleepingComputer).