Golpe sem uma linha de código: como um burlão enganou a gigante Google e Meta

Poderia ser mais uma crónica da história da computação, com foco sobretudo nas gigantes tecnológicas, tão poderosas, mas, ao mesmo tempo, tão permissivas. Muitos ainda se lembrarão, os factos ocorreram entre 2013 e 2015, Evaldas Rimasauskas, um burlão lituano, montou um esquema simples que expôs vulnerabilidades inesperadas nas maiores empresas tecnológicas do mundo. A soma da habilidade ultrapassou os 100 milhões de euros.

Não é com vinagre que se apanham moscas

Um cidadão lituano de 50 anos, protagonizou um dos golpes financeiros mais surpreendentes da última década ao conseguir desviar 122 milhões de dólares de duas das maiores empresas tecnológicas do planeta, a Facebook e a Google.

O esquema, executado entre 2013 e 2015, destacou-se pela ausência total de técnicas informáticas avançadas. Não houve intrusões, malware ou acessos indevidos a sistemas internos. Toda a operação baseou-se apenas em engenharia social habilidosa, documentos falsificados e erros humanos.

Rimasauskas foi acusado de ter criado uma empresa, para se fazer passar por outra, a Quanta Computer, sediada em Taiwan, que, na verdade faz negócios com o Facebook e o Google. Rimasauskas atuava como "único membro do conselho de administração" da empresa falsa e "abriu, manteve e controlou várias contas em bancos" na Letónia e no Chipre em nome da empresa falsa.

Burlão foi detido, extraditado para os EUA e condenado por fraude

O burlão criou uma estrutura convincente que imitava um fornecedor de hardware real utilizada por ambas as empresas. Com moradas, contratos e documentação meticulosamente falsificados, enviou faturas diretamente aos departamentos financeiros.

As equipas, habituadas ao elevado volume de operações diárias, processaram os pagamentos sem verificações adicionais, permitindo que milhões fossem transferidos para contas controladas pelo criminoso.

O caso, investigado pelas autoridades norte-americanas e europeias, revelou falhas processuais graves em organizações gigantes, onde a escala operacional pode facilitar a passagem despercebida de documentos fraudulentos.

Enviar faturas "ao acaso" com convicção

Alguns especialistas em segurança consideram este episódio um aviso claro de que as maiores ameaças digitais nem sempre surgem do ciberespaço, mas da forma como pessoas e departamentos lidam com rotinas administrativas.

A fraude tornou-se referência mundial em estudos sobre engenharia social, lembrando que, mesmo perante investimentos massivos em cibersegurança, a validação rigorosa de transações financeiras continua a ser um dos pontos mais frágeis na proteção de qualquer organização.

Hoje, uma década depois, as ferramentas com IA aperfeiçoaram os métodos, a dependência de organizações totalmente digitalizadas criaram fortes dependências. Será que há atualmente em ação, golpes desta natureza?

5 anos de prisão e devolução de milhões

As autoridades lituanas prenderam Rimasauskas em março de 2017, e ele foi extraditado para os EUA um mês depois. Como parte da sua confissão de culpa, Rimasauskas concordou em abrir mão de aproximadamente 49,7 milhões de dólares que obteve com o esquema.

Evaldas Rimasauskas foi condenado a 5 anos de prisão por fraude eletrónica, lavagem de dinheiro e roubo através de engenharia social. Além da pena, foi ainda obrigado a restituir dezenas de milhões de dólares resultantes do esquema, que tem um nome, chama-se CEO Fraud.

Afinal, o que é o CEO Fraud?

As campanhas de “CEO Fraud” caracterizam-se, essencialmente, pelo envio de emails ou mensagens de texto (sms ou através de aplicações) em que um agente malicioso, fazendo passar-se por uma entidade relacionada com a organização alvo (por exemplo, o/a Diretor(a) Executivo(a) ou um fornecedor), faz pedidos tipicamente de natureza financeira.

Estes pedidos são direcionados aos colaboradores dessa mesma organização. Através de engenharia social, como foi referido, os colaboradores são levados mesmo a realizar transferências bancárias para contas associadas ao atacante.

Na prática, o burlão finge ser um responsável da empresa e solicita transferências ou alterações das contas bancárias para onde devem ser feitos os pagamentos. Este é um dos esquemas mais usados em Portugal, atualmente.