Em menos tempo do que você levaria para reiniciar o PC, um ex-contratado conseguiu deletar 96 bancos de dados federais norte-americanos. O episódio, confirmado esta semana pela Justiça dos Estados Unidos, envolve o paquistanês naturalizado Sohaib Akhter, 34 anos, e serve de alerta máximo para qualquer organização — de gigantes do setor público a pequenas lojas virtuais — sobre a importância de revogar credenciais em tempo real.
O que aconteceu?
Akhter e o irmão, Muneeb, atuavam em uma empresa terceirizada que prestava suporte para mais de 45 agências federais, incluindo o Departamento de Segurança Interna (DHS) e o Federal Deposit Insurance Corporation (FDIC). Depois que uma condenação anterior de Sohaib veio à tona, a dupla foi dispensada em uma call remota. Só que o desligamento administrativo não foi acompanhado pela revogação imediata dos acessos.
Resultado: ainda dentro da sessão, os irmãos usaram credenciais ativas para invadir servidores em Ashburn, Virgínia. Em questão de minutos, investigações sigilosas, registros da Lei de Acesso à Informação (FOIA) e outros dados sensíveis foram apagados. Antes da exclusão em massa, scripts desabilitaram privilégios de outros administradores, numa tentativa de impedir a recuperação de logs — o equivalente digital a queimar o arquivo e jogar as chaves fora.
Como a IA entrou na história
Relatórios do Departamento de Justiça revelam que Sohaib recorreu a uma ferramenta de inteligência artificial generativa logo após executar o primeiro ataque. Ele buscou instruções sobre como remover rastros de auditoria e sobrescrever setores de armazenamento, sinal claro de premeditação. É mais um caso que mostra como a IA, nas mãos erradas, acelera o cibercrime.
Impacto prático: quando dados viram “prova perdida”
Para o cidadão que depende de processos administrativos ou judiciais sustentados por aqueles bancos de dados, o estrago é real: sem logs originais, reconstruir a cadeia de custódia pode levar anos e custar milhões de dólares em perícia digital.
No julgamento, a inspetora-geral Jennifer L. Fain, do FDIC-OIG, classificou a ação como “desrespeito flagrante à segurança e integridade dos sistemas federais”. Em outras palavras, não se trata apenas de um apagão técnico, mas de um risco concreto à confiança em serviços governamentais.
Zero Trust na prática: lições para empresas — e para você em casa
- Revogação instantânea de credenciais: soluções de Identity Access Management (IAM) baseadas em Zero Trust cortam o acesso no mesmo segundo da demissão.
- MFA e chaves físicas: tokens USB como YubiKey ou leitores biométricos adicionam uma camada que simples senhas não oferecem.
- Backups imutáveis: tecnologias de snapshot em SSDs NVMe corporativos ou em serviços de nuvem com WORM (Write Once, Read Many) impedem sobrescrita maliciosa.
- Monitoramento em tempo real: painéis de observabilidade com IA detectam picos de exclusão ou comandos suspeitos, algo que poderia ter disparado um bloqueio automático no caso Akhter.
E para o usuário doméstico que guarda fotos de família ou faz streaming, a lógica é parecida: mantenha backup em um SSD externo confiável, proteja logins com autenticação de dois fatores e use um gerenciador de senhas robusto. Afinal, o mesmo princípio vale para seu servidor de jogos ou para o data center de Washington.
Imagem: William R
Próximos passos do processo
Akhter foi condenado por acesso não autorizado, roubo de credenciais e destruição de dados governamentais. A sentença final deve incluir pena de prisão federal e pesadas multas, além de proibição de trabalhar novamente com sistemas críticos.
Enquanto isso, equipes forenses correm contra o tempo para recuperar informações cruciais. Mesmo com ferramentas de ponta, reconstruir 96 bancos de dados pode exigir caríssimas soluções de hardware — de appliances de recuperação de dados a módulos de segurança física (HSM) que mantêm chaves de criptografia fora do alcance de invasores.
No fim das contas, a história de Sohaib Akhter reforça uma verdade desconfortável: qualquer elo fraco em cadeia de acesso pode derrubar estruturas inteiras. E, em 2024, esse elo costuma ser humano — armado com uma senha que não deveria mais funcionar.
Com informações de Hardware.com.br
