EUA impõem sanções a serviço de VPN e vendedor de “cryptors” por apoio a ataques de ransomware
O Departamento do Tesouro dos Estados Unidos anunciou novas sanções contra duas pessoas e um serviço de VPN acusados de fornecer suporte direto a grupos de ransomware e outros operadores de cibercrime. As medidas, aplicadas pelo Escritório de Controle de Ativos Estrangeiros (OFAC), miram o First VPN Service, também chamado de 1VPNS, seu suposto administrador ucraniano e um cidadão bielorrusso que atuaria na venda de ferramentas usadas para esconder malware.
De acordo com o governo norte-americano, a infraestrutura oferecida pelos alvos das sanções foi fundamental para que criminosos digitais conseguissem mascarar a origem de ataques, distribuir códigos maliciosos, gerenciar dados roubados e driblar soluções de segurança. Entre as organizações atacadas a partir desses recursos estão empresas privadas, instituições financeiras, hospitais e administrações municipais nos Estados Unidos.
First VPN Service sob acusação de apoiar operações de ransomware
O First VPN Service é apontado pelas autoridades como um provedor que, de forma sistemática, teria colocado seus servidores à disposição de operadores de ransomware, grupos especializados em roubo de dados, responsáveis por varreduras automatizadas na internet e articuladores de ataques de negação de serviço (DDoS).
Ativo desde 2014, o 1VPNS oferecia uma rede de servidores distribuídos internacionalmente, supostamente otimizada para garantir anonimato e dificultar rastreamento. Segundo o Tesouro dos EUA, essa infraestrutura foi usada em diversas campanhas que resultaram em sequestro de dados, paralisação de operações críticas e extorsão de vítimas.
O serviço foi desmantelado em maio de 2026, em uma operação coordenada entre autoridades de países da Europa e da América do Norte. A ação conjunta teve como foco a desativação de servidores, a apreensão de domínios e a coleta de evidências para investigação de redes de cibercrime que se apoiavam no 1VPNS para operar com menor risco de identificação.
Política de “não registros” e rejeição a cooperação com autoridades
Uma das principais promessas comerciais do First VPN Service era não registrar dados sobre seus usuários nem monitorar suas atividades. O provedor também declarava de forma explícita que não cooperaria com investigações relacionadas a ações criminosas realizadas por meio de sua infraestrutura.
Esse discurso, voltado a uma suposta defesa da privacidade absoluta, acabou transformando o serviço em um atrativo especial para organizações envolvidas em ataques sofisticados, que precisam esconder a localização real de seus operadores.
Na prática, serviços dessa natureza funcionam como um intermediário entre o invasor e o alvo. Quando um ataque é lançado por meio de uma VPN, os registros de conexão apontam apenas para o servidor intermediário, escondendo o endereço IP original e dificultando a identificação dos dispositivos e redes realmente utilizados pelos criminosos.
O Tesouro dos EUA afirma que vários grupos de ransomware contrataram o First VPN Service especificamente para mascarar a origem de invasões contra empresas e órgãos norte-americanos. A infraestrutura teria sido empregada tanto na fase inicial – de exploração de vulnerabilidades e entrada nas redes – quanto na etapa posterior de exfiltração de dados e gerenciamento das informações roubadas.
Ainda segundo as autoridades, operações conduzidas com o auxílio dos serviços sancionados já causaram perdas financeiras estimadas em bilhões de dólares, afetando empresas privadas, provedores de serviços essenciais e operadores de infraestrutura crítica.
Administrador do 1VPNS usava identidades falsas para manter o negócio
Além da entidade corporativa First VPN Service, as sanções atingem o ucraniano Dmytro Rashevskyi, de 45 anos, identificado como o administrador do 1VPNS. Ele é acusado de montar e gerenciar a infraestrutura do serviço e de adotar estratégias fraudulentas para manter o negócio ativo mesmo sob suspeita.
De acordo com o Departamento do Tesouro, Rashevskyi utilizou múltiplas identidades falsas, incluindo os nomes “Maksim Sorin” e “Roman Chabanenko”, para registrar servidores, adquirir endereços IP e contratar serviços de hospedagem junto a empresas que, de outra forma, poderiam se recusar a negociar com ele.
Esse expediente teria sido adotado após reiteradas reclamações feitas a provedores de internet sobre atividades maliciosas originadas dos servidores associados ao 1VPNS. À medida que a reputação da infraestrutura era manchada por denúncias de abuso, o uso de nomes alternativos permitia seguir abrindo contratos e reposicionando a rede em novos provedores.
A prática é considerada comum em redes utilizadas por cibercriminosos: responsáveis por operações ilegais frequentemente recorrem a empresas de fachada, laranjas, cadastros com documentos falsos e mudanças rápidas de infraestrutura para evitar desligamentos e manter a continuidade das campanhas.
Bielo-russo é acusado de vender “cryptors” para esconder malware
Além do 1VPNS e de seu administrador, o OFAC sancionou Yegeniy Vladimirovich Silayev, cidadão da Bielorrússia apontado como fornecedor de “cryptors” para operadores de ransomware e distribuidores de outras famílias de malware.
Os cryptors são programas especializados em alterar, empacotar ou ofuscar códigos maliciosos, com o objetivo de enganar antivírus, EDRs e outras camadas de proteção. Em vez de criar o malware em si, o vendedor de cryptors fornece o “revestimento” que ajuda a esconder o comportamento malicioso por trás de uma camada de aparente legitimidade.
Essas ferramentas podem operar de diferentes formas:
– modificando a estrutura interna dos arquivos;
– criptografando trechos do código malicioso;
– alterando assinaturas conhecidas por mecanismos de segurança;
– utilizando técnicas de ofuscação para dificultar análise estática e dinâmica.
Em alguns modelos de negócio, o fornecedor testa o malware do cliente contra diversas soluções de segurança existentes no mercado e devolve uma versão “ajustada” para que não seja identificada naquele momento pelos principais motores de detecção.
O uso de cryptors não garante invisibilidade total, mas costuma atrasar a descoberta da ameaça. Esse intervalo de tempo pode ser suficiente para que o ransomware seja executado, criptografe dados, exfiltre informações sensíveis e estabeleça canais de comando e controle antes que os sistemas de defesa soem o alarme.
Como funcionam as sanções do OFAC e quais seus efeitos práticos
As designações feitas pelo OFAC resultam, em geral, no bloqueio de todos os bens e interesses das pessoas e entidades sancionadas que estejam nos Estados Unidos ou sob controle de cidadãos e empresas norte-americanas. Isso abrange contas bancárias, ativos digitais, direitos contratuais e qualquer recurso financeiro sujeito à jurisdição do país.
Além disso, cidadãos, instituições financeiras e companhias dos EUA ficam proibidos de realizar uma série de transações com os alvos das sanções. Na prática, isso impede que serviços de hospedagem, registradores de domínio, intermediários de pagamento e outras empresas reguladas forneçam infraestrutura ou facilitem o recebimento de valores por parte dos envolvidos.
O objetivo declarado é aumentar o custo operacional do cibercrime e dificultar a contratação de serviços essenciais para ataques, como hospedagem de servidores de comando e controle, aluguel de infraestrutura anônima, intermediação de pagamentos e conversão de resgates em dinheiro ou outros ativos.
Embora muitas dessas operações ocorram fora dos sistemas financeiros tradicionais, as sanções aumentam o risco para qualquer parceiro comercial ou intermediário que ainda mantenha relações com os alvos, o que pode levar ao isolamento gradual dessas redes.
VPNs, privacidade e abuso por cibercriminosos
O caso do First VPN Service reacende o debate sobre o uso de tecnologias de privacidade por criminosos. VPNs são ferramentas legítimas, amplamente utilizadas por empresas e indivíduos para proteger dados em trânsito, acessar recursos corporativos com segurança e evitar espionagem em redes públicas.
No entanto, a combinação de políticas extremas de não registro, ausência de mecanismos de resposta a abuso e recusa sistemática de cooperação com investigações cria um ambiente propício para o uso malicioso.
Para empresas e usuários, isso reforça a importância de avaliar critérios como:
– transparência sobre a equipe e a jurisdição do serviço;
– existência de políticas claras de uso aceitável;
– histórico de resposta a incidentes de abuso;
– reputação entre especialistas em segurança;
– práticas técnicas de proteção, e não apenas promessas de anonimato absoluto.
Diferenciar fornecedores que defendem a privacidade dentro da lei daqueles que se posicionam como um refúgio para atividades criminosas é um desafio crescente em um cenário de ameaças cada vez mais sofisticadas.
Ransomware: impacto econômico e pressão regulatória
Os ataques de ransomware se consolidaram como uma das principais ameaças à segurança digital no mundo. Para além do sequestro de dados e da interrupção de serviços, as campanhas mais recentes costumam incluir roubo de informações sensíveis, ameaças de publicação de dados e múltiplas rodadas de extorsão.
Os prejuízos não se limitam ao valor do resgate. Incluem paralisação de operações, perda de confiança de clientes, custos de resposta a incidentes, multas regulatórias e investimentos adicionais em segurança. Quando o alvo é um hospital, serviço público ou operador de infraestrutura crítica, os impactos podem atingir diretamente a população, com interrupções em atendimento médico, transporte, energia ou serviços financeiros.
Nesse contexto, governos têm intensificado medidas de pressão contra toda a cadeia que sustenta o ecossistema do ransomware:
– provedores de serviços que fecham os olhos para o abuso;
– operadores de painéis de comando e controle;
– desenvolvedores de malware como serviço (MaaS);
– negociadores de resgate e lavadores de dinheiro;
– vendedores de ferramentas como cryptors e loaders.
As sanções contra o First VPN Service e Yegeniy Silayev se inserem nessa estratégia de atacar os “facilitadores” que permitem que grupos de ransomware atuem em larga escala.
O que empresas podem aprender com esse caso
Para organizações preocupadas em reduzir sua exposição a ransomware, o episódio traz alguns aprendizados:
1. Monitorar conexões suspeitas
Investir em monitoramento de rede e detecção de anomalias é fundamental. Conexões recorrentes com serviços de VPN associados a abuso, comunicações com endereços IP suspeitos e tráfego fora do padrão do negócio devem acender alertas.
2. Reforçar autenticação e segmentação
Muitas campanhas de ransomware começam com credenciais vazadas ou roubadas. Autenticação multifator, segmentação de rede e limitação de privilégios reduzem a superfície de ataque e dificultam o movimento lateral após uma invasão inicial.
3. Manter backups isolados e testados
Backups offline ou imutáveis, com testes regulares de restauração, continuam sendo um dos pilares de resiliência contra ransomware. Eles reduzem o poder de barganha dos criminosos e permitem retomada mais rápida das operações.
4. Tratar fornecedores de tecnologia como parte do risco
Parceiros que oferecem serviços de infraestrutura, hospedagem, acesso remoto e suporte de TI também fazem parte da superfície de ataque. Avaliações de segurança, cláusulas contratuais e monitoramento contínuo dos terceiros críticos são essenciais.
5. Preparar planos de resposta a incidentes
Ter um plano documentado, com fluxos de comunicação, responsabilidades definidas e cenários de atuação – incluindo ransomware – acelera a tomada de decisão em momentos críticos e reduz o impacto final.
Cooperação internacional como resposta ao cibercrime
A desarticulação do First VPN Service e a imposição de sanções mostram como a cooperação internacional se tornou indispensável no combate ao cibercrime. Grupos de ransomware, vendedores de cryptors e operadores de infraestrutura maliciosa atuam em múltiplas jurisdições, registram ativos em diferentes países e exploram lacunas legais para seguir ativos.
Operações conjuntas entre autoridades de diversas nações permitem:
– compartilhar inteligência sobre infraestrutura e operadores;
– coordenar apreensões de servidores e bloqueios de ativos;
– unir esforços de investigação e de persecução penal;
– reduzir os espaços seguros onde criminosos acreditam poder atuar sem consequências.
Nos próximos anos, a tendência é de ampliação de acordos e mecanismos de colaboração, inclusive com maior troca de informações entre órgãos de segurança, reguladores financeiros e empresas do setor privado.
Perspectivas futuras: mais pressão sobre a infraestrutura do cibercrime
Com o crescimento contínuo dos ataques de ransomware e o aumento dos prejuízos globais, a expectativa é que medidas como as adotadas contra o 1VPNS e o vendedor de cryptors se tornem cada vez mais frequentes.
Sanções direcionadas à infraestrutura de apoio, aliadas a ações de derrubada de servidores e bloqueio de fluxos financeiros, podem não eliminar o problema de imediato, mas tendem a aumentar o custo, o risco e a complexidade de operar em larga escala.
Para empresas e instituições, isso não substitui investimentos internos em segurança, mas sinaliza que o combate ao ransomware está deixando de se concentrar apenas nos grupos diretamente responsáveis pelos ataques e passando a mirar todo o ecossistema que os sustenta – dos provedores de VPN coniventes aos desenvolvedores de ferramentas de ofuscação como os cryptors.
A combinação de pressão regulatória, cooperação internacional, fortalecimento das defesas corporativas e conscientização dos usuários será decisiva para reduzir o espaço de atuação desses grupos e limitar os danos causados pelas próximas ondas de ataques.