EUA sancionam hackers iranianos acusados de atacar empresas de energia, saúde e defesa

O Departamento do Tesouro dos Estados Unidos anunciou novas sanções contra hackers e entidades ligados ao Irã, incluindo integrantes de um grupo associado ao Ministério de Inteligência e Segurança iraniano (MOIS) acusado de comprometer organizações de infraestrutura crítica dos EUA e realizar roubos cibernéticos com motivação financeira.

As medidas fazem parte da Operation Economic Outcast, uma campanha do governo americano destinada a ampliar a pressão econômica sobre o Irã e restringir fontes de financiamento relacionadas ao governo iraniano e ao Corpo da Guarda Revolucionária Islâmica (IRGC).

Segundo o Tesouro, quase 60 entidades, indivíduos e embarcações ligados ao Irã foram incluídos nas sanções. Os alvos estão associados a diferentes setores, incluindo programas nuclear e de mísseis, petróleo, operações cibernéticas e ativos digitais.

Entre os sancionados estão integrantes do Mabna Institute, organização sediada em Teerã que, segundo as autoridades americanas, mantém integrantes envolvidos em operações realizadas em benefício do MOIS.

Hackers teriam invadido empresas de energia, defesa, saúde e finanças

Entre os indivíduos citados pelo governo americano estão Behzad Mesri, Mojtaba Ghal'eh-Kuhi, Keyvan Fayyaz Ghareh Blagh, Saber Shahbazi Balujeh, Mohammad Reza Kadkhoda'i e Arman Kahzadian.

Mesri já havia sido sancionado anteriormente pelo Office of Foreign Assets Control (OFAC), incluindo por seu envolvimento em ataques e tentativa de extorsão contra a HBO.

De acordo com o Tesouro, Keyvan Fayyaz Ghareh Blagh, Saber Shahbazi Balujeh e Mohammad Reza Kadkhoda'i foram responsáveis por grande parte das atividades de comprometimento de redes atribuídas ao grupo.

Desde pelo menos o final de 2023, os hackers teriam conseguido invadir organizações americanas e extrair dados de empresas pertencentes a setores de infraestrutura crítica, incluindo energia, defesa, saúde, tecnologia da informação e instituições financeiras.

No verão de 2024, os invasores também teriam comprometido escritórios governamentais locais, estaduais e federais nos Estados Unidos.

As autoridades americanas afirmam que o grupo frequentemente realiza exploração de redes em benefício do MOIS. Ao mesmo tempo, alguns integrantes também seriam motivados por ganhos financeiros pessoais, chegando inclusive a direcionar ataques contra empresas iranianas.

Em 2025, por exemplo, Mojtaba Ghal'eh-Kuhi e Saber Shahbazi Balujeh teriam atacado uma empresa de telecomunicações do próprio Irã e extraído dados de seus sistemas.

Carteiras ligadas ao grupo receberam US$ 16,8 milhões

As operações também envolvem criptomoedas. Arman Kahzadian teria concentrado parte de suas atividades em roubos de ativos digitais e, no verão de 2023, assumido ilegalmente o controle de uma carteira contendo mais de US$ 30 mil em Bitcoin.

Uma análise da TRM Labs identificou 30 carteiras relacionadas a cinco integrantes do Mabna Institute que receberam aproximadamente US$ 16,8 milhões.

Dez endereços associados a Keyvan Fayyaz Ghareh Blagh receberam coletivamente cerca de US$ 15,5 milhões entre janeiro de 2018 e 20 de agosto de 2026, correspondendo a aproximadamente 92% do volume on-chain identificado nessa rede.

Outros 15 endereços associados a Behzad Mesri receberam cerca de US$ 1,2 milhão entre julho de 2019 e 22 de agosto de 2026. O saldo residual combinado das 30 carteiras analisadas era de US$ 202.662.

A investigação sobre o financiamento digital iraniano também alcança outras estruturas. Em janeiro, a TRM Labs afirmou que as empresas Zedcex e Zedxion, sediadas no Reino Unido, teriam processado aproximadamente US$ 1 bilhão em recursos relacionados ao IRGC.

EUA oferecem recompensa de até US$ 10 milhões

Paralelamente às sanções, o programa Rewards for Justice, do Departamento de Estado americano, anunciou recompensa de até US$ 10 milhões por informações sobre pessoas envolvidas em atividades cibernéticas maliciosas contra infraestrutura crítica dos Estados Unidos sob direção ou controle de um governo estrangeiro.

As medidas ocorrem em meio ao aumento das tensões envolvendo o Irã e a uma série de campanhas cibernéticas atribuídas a agentes iranianos.

Entre os episódios citados estão o comprometimento da conta pessoal de e-mail do diretor do FBI, Kash Patel, e ataques recentes contra mais de 30 empresas de água e tratamento de esgoto distribuídas por pelo menos 12 estados americanos.

A atividade também teria alcançado aliados dos Estados Unidos. No Reino Unido, hackers suspeitos de ligação com o Irã foram responsabilizados por um ataque que provocou a interrupção durante quatro dias de uma pequena usina de geração de energia. O governo britânico afirmou, porém, que o incidente não representou risco para o sistema energético mais amplo.

Operações iranianas combinam espionagem, sabotagem e ataques a OT

Uma análise recente da SentinelOne descreve a atividade ligada ao Irã como um conjunto de diferentes grupos e operações, cada um com objetivos, alvos e técnicas próprios.

As atividades incluem coleta e destruição de dados, engenharia social, comprometimento de ambientes em nuvem, vigilância de dissidentes e ataques oportunistas contra ativos de tecnologia operacional (OT) expostos.

Segundo o pesquisador Tom Hegel, um dos principais riscos está na possibilidade de reutilização de acessos previamente comprometidos. Uma mesma conta, fornecedor de serviços ou mecanismo de gerenciamento remoto comprometido pode servir posteriormente para espionagem, novos ataques ou interrupção seletiva de operações.

O conflito também estimulou o surgimento de um ecossistema descentralizado de grupos hacktivistas e "faketivistas" pró-Irã. De acordo com a DomainTools Investigations, esses grupos compartilham listas de alvos, ferramentas de DDoS, dados provenientes de vazamentos anteriores e campanhas de propaganda por Telegram e outros canais.

Embora muitas dessas operações apresentem baixa sofisticação técnica, seu objetivo está principalmente na velocidade e visibilidade das ações. As campanhas procuram exercer pressão psicológica, política e econômica e ampliar narrativas relacionadas ao conflito, utilizando ataques cibernéticos como instrumento de guerra de informação.