O Departamento de Justiça dos Estados Unidos acusou hoje nove cidadãos iranianos de “conduzir uma campanha coordenada de ciber-intrusão em sistemas de computadores de 144 universidades dos Estados Unidos”. Os acusados ainda teriam acessado indevidamente “176 universidades estrangeiras em 21 países, 47 organizações do setor privado” e uma série de orgãos governamentais dos EUA.

De acordo com o departamento, os iranianos trabalhavam para o Mabna Institute, uma empresa fundada por dois deles. Essa empresa, por sua vez, havia sido contratada pelo Corpo de Guarda Revolucionária (IRGC) do Irã, um dos órgãos de inteligência do governo iraniano. O papel do IRGC, conforme descrito pelo departamento, é semelhante ao da CIA nos Estados Unidos. 

Além do governo iraniano, o Mabna Institute também teria oferecido seus serviços a universidades interessadas na obtenção de dados de pesquisa de instituições estadunidenses. No total, os acusados teriam obtido, de maneira ilegal, mais de 31 terabytes de dados de universidades e professores dos EUA. Segundo o Gizmodo, esses dados teriam um valor total de US$ 3,14 bilhões (R$ 10,39 bilhões).

Mais de 8.000 professores e funcionários de universidades do mundo todo teriam tido suas contas comprometidas pelos hackers. Os nove iranianos são acusados de sete crimes diferentes, incluindo fraude e roubo de identidade – mas o departamento ressalta que são considerados inocentes até e se sua culpa for provada. De acordo com a CNBC, o Departamento do Tesouro dos EUA também publicou sanções economicas contra o Irã por causa da suposta atividade criminosa de seus cidadãos. 

Estratégia

Para invadir as contas dos professores universitários, os acusados teriam usado um esquema que a CNN descreve como “sofisticado”. Numa primeira fase, os invasores faziam um reconhecimento do alvo; então, enviavam a ele um e-mail falso, fingindo ser um professor interessado em algum trabalho recém-publicado dos alvos. O e-mail continha também links para outros trabalhos que eram, na verdade, links maliciosos que tentavam roubar as credenciais da vítima para poder acessar suas contas virtuais. 

Táticas semelhantes ainda teriam sido usadas para invadir os computadores de instituições governamentais dos EUA, como o Departamento do Trabalho dos EUA e até mesmo os dados da UNICEF no país. Mas para empresas, os hackers teriam usado um esquema mais simples conhecido como “password spraying”: eles coletavam endereços de e-mail disponíveis na internet e testavam senhas simples neles; se conseguissem entrar, roubavam todas as informações contidas nas caixas de entrada. 

A acusação vem pouco após o governo dos EUA acusar o governo russo publicamente, pela primeira vez, de tentar hackear sua infraestrutura de energia. A postura acusatória do governo estadunidense foi descrita como “extraordinária e sem precedentes” por um ex-agente do departamento de segurança do país.