Uma investigação do Fantástico, o programa dominical de investigação da TV Globo, expôs um mercado digital clandestino que vende logins e senhas de servidores e autoridades com acesso a sistemas públicos e privados. Segundo o G1, as ofertas incluíam consultas a dados do Imposto de Renda por cerca de R$ 100 e um serviço para alterar informações de processos judiciais e retirar um mandado de prisão por R$ 1 mil. A repórter Mônica Marques acompanhou as negociações durante um mês, em grupos de conversa e fóruns da internet.
Na prática, o que está à venda são as chaves de outras pessoas. Cada login pertence a um servidor cujo cargo abre portas digitais protegidas, e o preço sobe conforme o poder da conta: um acesso à Secretaria de Segurança do Paraná era oferecido por pouco mais de R$ 100, com nome, chassi, motor, fotos e dados de condutores por R$ 110, enquanto um login da Justiça de Santa Catarina era anunciado por R$ 500. Também eram vendidos os chamados painéis, sistemas que reúnem dados obtidos ilegalmente, de compras online a registros de saúde e vacinas. O modelo de negócio é direto: o serviço custa uma fração do benefício do comprador. Um vendedor se ofereceu para apagar uma multa cobrando metade do valor dela, e outros prometiam incluir uma infração no nome de outra pessoa nos Detrans, os órgãos estaduais de trânsito.
Credenciais testadas e confirmadas
A reportagem levou o material ao Ministério Público do Rio Grande do Sul, que já investiga esses grupos. Com autorização e segurança, o Núcleo de Prevenção à Violência Extrema testou até onde os acessos permitiam chegar. "Percebemos que é funcional", afirmou o procurador de Justiça Fábio Costa Pereira. "O que eles prometem, eles conseguem fazer." O promotor de Justiça Leonardo dos Santos Rossi disse que a venda de credenciais já havia sido identificada em denúncias e investigações anteriores: "essas vendas de senhas realmente funcionam, são verdadeiras".
Em Goiás, o problema já ultrapassou o comércio de dados. Segundo o G1, o Tribunal de Justiça identificou 350 acessos fraudulentos, e uma das operações da polícia revelou cerca de 140 adulterações no Banco Nacional de Mandados de Prisão, o sistema que reúne ordens de prisão em todo o país: eram mandados com informações erradas que poderiam mandar uma pessoa inocente para a cadeia. Um casal foi preso e responde ao processo em liberdade. "Credenciais de acesso subtraídas de servidores ou dos próprios magistrados têm sido utilizadas para poder fraudar, inserir, alterar ou excluir, inclusive ordens de prisão dos bancos nacionais", disse a delegada Sabrina Leles, da Polícia Civil de Goiás. De lá saiu também uma ordem de bloqueio fraudulenta emitida contra uma jovem que contou à reportagem ter entrado nesse universo ainda adolescente, sido chantageada para produzir imagens íntimas e passado a ser perseguida fora da internet.
O que ainda não sabemos e o que observar
Uma das principais redes desse mercado é chamada The Com. Funciona como um conjunto de comunidades interligadas e espalhadas por vários países, sem um site central, segundo o Fantástico. O FBI já advertiu que muitos integrantes são muito jovens, e os dados roubados alimentam outros crimes, como a sextorsão, a chantagem com imagens íntimas. Em Belém, uma investigação da Polícia Civil que começou com denúncias de exposição ilegal de dados levou à prisão em flagrante de uma mulher que compartilhava conteúdo de violência sexual contra crianças e adolescentes. A delegada Vanessa Lee afirmou que os investigados participavam da venda de logins e de outras práticas, como venda de armas e grupos ligados ao suicídio. A polícia do Pará conta com a colaboração de pesquisadores de uma universidade federal.
O que ainda não sabemos: o tamanho real do mercado. A reportagem não estima quantas credenciais circulam nem quantas pessoas foram afetadas, e o único levantamento consolidado, o de Goiás, cobre um estado. Também não está claro como as senhas foram subtraídas, se por golpe, malware ou colaboração interna, e quais sistemas já foram corrigidos. Até aqui, a apuração é de uma única reportagem de televisão, embora ancorada em testes feitos pelo Ministério Público e em investigações oficiais em pelo menos três estados.
Na prática, o que fazer: desconfie de qualquer oferta que prometa apagar multas ou resolver pendências judiciais fora dos canais oficiais, e de notificações de "ordem judicial" que cheguem por aplicativo de mensagem. Se você é servidor, trate sua senha como uma chave física e ative a autenticação em dois fatores sempre que o sistema permitir. E, com adolescentes em casa, vale atenção redobrada a contatos desconhecidos e mudanças bruscas de comportamento, sinais que a polícia associa à sextorsão.