Hacker do Exército Eletrónico Sírio por trás do tweet falso da AP condenado a 42 meses de prisão

Um tribunal federal dos Estados Unidos condenou Ahmad Umar Agha, membro do Exército Eletrónico Sírio pró-Assad que operava sob o pseudónimo "Th3Pr0", a 42 meses de prisão. A sentença, anunciada pelo Departamento de Justiça dos EUA a 29 de outubro, encerra um capítulo que começou há mais de uma década com e-mails de phishing e terminou com uma conta da Associated Press sequestrada a mover todo o índice Dow Jones.

O que aconteceu

O Exército Eletrónico Sírio iniciou a sua campanha em 2011. O método era simples e eficaz: enviar e-mails de phishing a funcionários de órgãos de comunicação social e de outras organizações, recolher as palavras-passe e usar essas credenciais para desfigurar sites, redirecionar tráfego e assumir o controlo de contas nas redes sociais.

A operação mais infame aconteceu a 23 de abril de 2013, quando o grupo assumiu a conta de Twitter da Associated Press e publicou uma notícia falsa sobre duas explosões na Casa Branca que teriam ferido o presidente Barack Obama. Os sistemas de negociação automática reagiram em segundos. O Dow Jones Industrial Average perdeu temporariamente cerca de 136 mil milhões de dólares de valor antes de a farsa ser desmascarada e os mercados recuperarem. Os investigadores ligaram mais tarde a operação a Agha através da confirmação de reposição da palavra-passe da conta da AP, que chegou a uma caixa de Gmail usada sobretudo por ele. O próprio Agha gabou-se depois de que derrubar o Dow tinha sido precisamente o objetivo.

No total, a acusação norte-americana sustenta que Agha comprometeu cerca de 47 órgãos de comunicação ocidentais, empresas, organizações sem fins lucrativos e entidades governamentais dos EUA e de países aliados. Entre as restantes operações que lhe são atribuídas:

• Invadir o fornecedor de alojamento do site de recrutamento do Corpo de Fuzileiros dos EUA e redirecionar cerca de 3.500 visitantes para uma imagem que incitava os fuzileiros a desobedecer às ordens e a juntar-se ao exército sírio.
• Duas tentativas de tomar as contas de redes sociais da Casa Branca através de phishing contra as palavras-passe de e-mail dos funcionários. Uma delas chegou à caixa pessoal de um funcionário em julho de 2013, mas nenhuma conta oficial da Casa Branca foi comprometida.

O impacto financeiro para as vítimas foi real. Uma empresa que fornece conteúdos, anúncios e ligações a editores digitais perdeu cerca de 35.000 dólares por dia durante aproximadamente seis meses. Uma organização sem fins lucrativos de âmbito global gastou cerca de 480.000 dólares na sequência do incidente, incluindo perto de 250.000 dólares em novas ferramentas de monitorização de rede e a reformação de mais de 800 colaboradores.

O longo caminho até ao tribunal

Agha foi acusado pela primeira vez numa queixa selada em junho de 2014. O caso tornou-se público em março de 2016, quando o FBI o colocou, juntamente com o coarguido Firas Dardar, na lista Cyber's Most Wanted, com uma recompensa de 100.000 dólares. Um grande júri federal pronunciou ambos em maio de 2018. Agha só ficou sob custódia norte-americana no final de 2025 e compareceu em tribunal federal em novembro desse ano. Dardar continua a monte. Um terceiro homem, Peter Romar, foi extraditado da Alemanha e declarou-se culpado em 2016.

É de notar que o anúncio da sentença vai mais longe na atribuição do que os documentos anteriores. O Departamento de Justiça descreve agora a conspiração como organizada e liderada por membros do círculo próximo de Bashar al-Assad, incluindo o chefe da Direção-Geral de Informações da Síria, e afirma que o grupo recolhia informações para um regime que caiu em dezembro de 2024. Os documentos públicos anteriores do processo, incluindo a declaração ajuramentada do FBI de 2014 e os anúncios de acusação de 2016 e 2018, descreviam o grupo apenas como agindo "em apoio" do governo sírio. Se o grupo era diretamente controlado pelo Estado ou um intermediário tolerado foi debatido durante anos, pelo que a nova caracterização deve ser lida como a posição atual da acusação e não como um facto assente.

Porque é que importa

Treze anos depois, o ataque à AP continua a ser a demonstração mais clara de como uma única palavra-passe roubada pode transformar-se num acontecimento macroeconómico. Nada no ataque foi tecnicamente sofisticado. Não houve zero-day nem implante de malware, apenas um e-mail convincente e um funcionário que clicou. A lição não envelheceu: o elo mais fraco da maioria das organizações continua a ser uma credencial reutilizada ou obtida por phishing, e o raio de impacto de uma conta corporativa de redes sociais comprometida é muito maior do que a própria conta.

O caso mostra também a lentidão da justiça no cibercrime alinhado com Estados. Agha foi identificado menos de um ano após o ataque à AP, mas permaneceu fora de alcance durante mais de uma década, e o seu coarguido ainda está.

O que fazer

• Reforce todas as contas de alto impacto. As contas corporativas de redes sociais, de registo de domínios, de DNS e de administração de e-mail devem estar protegidas por autenticação multifator resistente a phishing, como chaves de hardware ou passkeys, e não por códigos SMS.
• Centralize o controlo das contas da marca. Use uma plataforma de gestão de redes sociais para que nenhum colaborador detenha a palavra-passe principal e reveja trimestralmente quem tem acesso.
• Treine para o cenário realista. Os e-mails do Exército Eletrónico Sírio faziam-se passar por colegas e serviços conhecidos. As simulações de phishing devem imitar isso, e não iscos genéricos de prémios.
• Vigie as fugas de credenciais. As palavras-passe recolhidas numa vaga de phishing são muitas vezes vendidas ou publicadas muito antes de serem usadas. Saber quando as credenciais dos seus colaboradores surgem em mercados criminosos ou sites de paste dá-lhe margem para as repor primeiro. A monitorização da Deep/Dark Web da 4tify foi concebida exatamente para isso: vigilância contínua das fontes de fugas para os seus domínios e identidades, com alertas antes de uma credencial exposta se transformar num sequestro de conta.
• Prepare o plano de resposta. Defina antecipadamente quem pode bloquear uma conta sequestrada, quem fala com a imprensa e como sinaliza publicações falsas às plataformas e aos parceiros.

O número que faz manchete nesta história são 136 mil milhões de dólares, mas a lição que fica é muito mais pequena: um e-mail, uma palavra-passe, um clique.