A história do cibercrime está repleta de mentes brilhantes que utilizam suas habilidades para fins ilícitos, e entre elas, destaca-se Arion Kurtaj. Este jovem, que começou sua jornada criminosa aos 16 anos, não apenas fundou o notório grupo Lapsus$ mas também inspirou a formação de um dos maiores supergrupos de ameaças digitais da atualidade: o Scattered Lapsus$ Hunters. A trajetória de Kurtaj é um estudo de caso sobre a audácia e a evolução do crime cibernético.
O Início de Tudo: Lapsus$ e Suas Raízes Brasileiras
A saga teve início em 2015 com o coletivo brasileiro Cyberteam, focado em ataques de negação de serviço (DDoS) e desfigurações de sites. O Lapsus$ emergiu da fusão do Cyberteam com o Recursion Team, um grupo especializado em golpes de troca de SIM e exploração de *Emergency Disclosure Requests* (EDR). Estes ataques de EDR envolviam a personificação de autoridades para obter dados sensíveis de empresas de tecnologia, frequentemente utilizando e-mails policiais acessados ilegalmente.
O primeiro ataque público do Lapsus$ que ganhou notoriedade foi em dezembro de 2021, contra o Ministério da Saúde do Brasil. Na ocasião, os sistemas foram comprometidos, resultando na exfiltração e exclusão de mais de 50 terabytes de dados, incluindo informações cruciais sobre a vacinação contra a COVID-19. O site foi deixado offline com uma mensagem de resgate, evidenciando a marca registrada do grupo: ataques destrutivos, visibilidade de alto impacto e comunicação direta com as vítimas. Posteriormente, empresas como Claro, Embratel, Correios, Impresa e SIC (em Portugal) também foram alvos.
Em 2022, o Lapsus$ mudou seu foco, mirando grandes corporações não necessariamente por dinheiro, mas por notoriedade. A Okta, gigante de autenticação corporativa, foi exposta por cinco dias após o comprometimento de uma conta de engenheiro de suporte. Planilhas com senhas de administradores e toda a base de clientes foram acessadas. Pouco depois, em fevereiro, a NVIDIA teve 1 terabyte de dados roubados, incluindo códigos-fonte de GPUs RTX 3090Ti, detalhes de engenharia, *hashes* de credenciais de 71 mil funcionários e certificados de assinatura de código. Uma tentativa de extorsão de US$ 1 milhão foi rejeitada pela NVIDIA.
Março de 2022 foi um mês caótico, com ataques a Samsung (190 GB de código-fonte, incluindo autenticação biométrica), Mercado Libre (300 mil clientes), Ubisoft e T-Mobile (código-fonte roubado, com tentativas de acesso a contas do FBI e Departamento de Defesa dos EUA). A Microsoft também sofreu um vazamento de 37 GB de dados, incluindo 90% do código do Bing e Cortana, embora o ataque tenha sido interrompido. Para fechar o mês, a Globant teve 70 GB de código-fonte de clientes como Facebook, DHL e Citibank roubados.
A Engenharia Social como Ferramenta Principal
O sucesso do Lapsus$ não residia na sofisticação técnica de seus malwares, mas na maestria da engenharia social. Os membros do grupo eram especialistas em investigar vítimas antes dos ataques, utilizando informações de redes sociais como o LinkedIn e vazamentos de dados anteriores para enganar centrais de atendimento de empresas. Eles exploravam a “fadiga de autenticação multifator” (MFA), bombardeando funcionários com notificações de autenticação até que um deles, exausto, aprovasse o acesso. O ataque à Uber em setembro de 2022 foi um exemplo clássico dessa tática.
Além disso, o grupo ia além: reinvestiam os lucros pagando funcionários de empresas de telecomunicação (até US$ 20 mil por semana) para auxiliar em golpes de troca de SIM, interceptando códigos de autenticação e burlar o MFA. Anunciavam abertamente em canais do Telegram a oferta de dinheiro por credenciais, aprovações de MFA ou instalação de ferramentas de acesso remoto, uma t ousadia inédita no cibercrime. Utilizavam ferramentas legítimas (RDP, AnyDesk, TeamViewer) e, em alguns casos, até mesmo participavam de chamadas de resposta a incidentes das vítimas para ajustar táticas ou sabotar ao vivo.
O Surgimento do Scattered Spider: Foco no Lucro
Enquanto o Lapsus$ buscava visibilidade, outro grupo, o Scattered Spider (também conhecido como UNC3944, Octo Tempest, Oktapus e Muddled Libra), surgia em maio de 2022 com um objetivo primário: lucro. Ambos os grupos emergiram do ecossistema *The Com*, uma rede cibercriminosa de adolescentes que inicialmente sequestravam contas do Instagram e evoluíram para operações mais complexas. Muitos membros do Lapsus$ também faziam parte do Scattered Spider, compartilhando táticas e infraestrutura.
Em setembro de 2023, o Scattered Spider ganhou destaque ao atacar grandes cassinos em Las Vegas, MGM Resorts International e Caesars Entertainment. Na MGM, os hackers acessaram sistemas Okta e Azure com credenciais de administradores, utilizando a mesma tática de ligações falsas a centrais de atendimento. A operação da MGM foi paralisada por 10 dias, gerando prejuízo de mais de US$ 100 milhões, enquanto a Caesars pagou US$ 15 milhões para evitar a divulgação de dados.
Em 2024, o Scattered Spider se uniu ao ShinyHunters para uma campanha massiva contra ambientes Snowflake, uma plataforma de dados em nuvem. Mais de 165 organizações foram afetadas, incluindo Ticketmaster, Santander e AT&T (que pagou cerca de US$ 370 mil em Bitcoin para evitar o vazamento de dados).
O alto perfil do Scattered Spider levou a prisões em 2024. Tyler Buchanan, suposto líder, foi detido na Espanha com mais de US$ 27 milhões em Bitcoin, e outros membros foram presos no Reino Unido, incluindo Thalha Jubair, um jovem de 19 anos que pode enfrentar até 95 anos de prisão.
Arion Kurtaj: O Adolescente do GTA 6
O jovem Arion Kurtaj, conhecido por diversos pseudônimos como SigmA e ArionK4, foi o grande nome por trás do Lapsus$. Em setembro de 2022, ele foi responsável pelo vazamento de vídeos de uma versão inicial de desenvolvimento do aguardado GTA 6. O incidente causou grande alvoroço na comunidade gamer, e Kurtaj chegou a ameaçar vender o código do GTA 5, exigindo pagamentos de pelo menos cinco dígitos.
Meses após o vazamento do GTA 6, Arion Kurtaj foi preso. Internado em uma instituição psiquiátrica, ele conseguiu invadir a Rockstar Games de um quarto de hotel, usando apenas um dispositivo FireStick e um telefone, e ameaçou a empresa via Slack. Ele tinha apenas 16 anos quando começou seus primeiros ataques.
Scattered Lapsus$ Hunters: O Megazord do Cibercrime
O legado de Kurtaj e a expertise dos grupos que ele influenciou não terminaram com as prisões. Em agosto de 2025, surgiu o Scattered Lapsus$ Hunters, um verdadeiro “megazord” do cibercrime, fruto da união entre Scattered Spider, ShinyHunters e membros remanescentes do Lapsus$. Cada um contribuía com sua especialidade: o Scattered Spider com acesso inicial via engenharia social, o ShinyHunters com exfiltração e publicação de dados, e os membros do Lapsus$ com táticas avançadas de engenharia social.
O grupo foi responsável por uma sofisticada campanha entre outubro de 2024 e setembro de 2025, que atingiu a Salesforce e centenas de empresas globais. A primeira fase, conhecida como UNC6040, utilizou *vishing* (phishing por voz) com vozes geradas por inteligência artificial para enganar funcionários da Salesforce. A segunda fase, UNC6395, explorou a cadeia de suprimentos, comprometendo o GitHub da Salesloft e o ambiente AWS do chatbot Drift para extrair tokens OAuth, que davam acesso a instâncias de centenas de organizações.
Estima-se que entre 989 milhões e 1,5 bilhão de registros foram roubados, incluindo informações pessoais sensíveis, credenciais corporativas, tokens de acesso, e dados de pagamento. Empresas como Google, Cloudflare, Palo Alto Networks, Qantas, Allianz Life e Kering/Gucci foram afetadas. O grupo exigiu 20 Bitcoins (cerca de US$ 1,3 milhão) da Salesforce para não divulgar os dados de 39 empresas, ameaçando litígios e informações a reguladores. Embora a Salesforce tenha negado comprometimento de sua plataforma, a ameaça era real.
Mesmo após anunciarem o encerramento das atividades, o Scattered Lapsus$ Hunters voltou a cena com um novo modus operandi: criaram um site para negociar o resgate de um novo vazamento massivo de clientes Salesforce, dando prazo até 10 de outubro de 2025. Empresas como Disney, Hulu, McDonalds, Cisco, Cartier, Chanel, Puma, HBO Max e Fujifilm foram citadas como vítimas. Especialistas em segurança, como a empresa de IA para cibersegurança ZenoX, alertam que o grupo evoluiu, focando na exploração de terceirizados e parcerias, reivindicando também ataques recentes ao Discord e Zendesk.
A ascensão e a contínua ameaça desses grupos cibercriminosos, liderados por mentes jovens e adaptáveis, reforçam a necessidade de medidas robustas de cibersegurança. Em um mundo onde a engenharia social e as táticas de evasão se tornam cada vez mais sofisticadas, a proteção de dados e sistemas é um desafio constante e fundamental. Estar ciente dessas ameaças e investir em segurança digital é crucial para empresas e indivíduos, garantindo que a inovação tecnológica não seja refém do cibercrime. Para saber mais sobre como proteger sua hospedagem e domínio contra ameaças como essas, visite eqsam.com, onde oferecemos soluções avançadas de segurança que se adaptam à complexidade do cenário digital atual.
Os próximos capítulos dessa história imprevisível dependem da capacidade de defesa das empresas e da eficácia das agências de segurança em combater essa evolução incessante do cibercrime.