140 empresas, 70 milhões de dólares e uma detenção que não desfaz nada
Saif al-Din Khader foi detido na Jordânia na terça-feira, 29 de setembro. A Reuters noticiou-o no sábado, citando duas pessoas com conhecimento do caso, e o pormenor que mais importa é o que ele está a fazer agora: guiar os investigadores pelos seus próprios telemóveis e registos de conversas para os ajudar a identificar todos os outros.
Khader usava o nome Rey. Brian Krebs apontou-o em novembro de 2025 como um dos três administradores do Scattered LAPSUS$ Hunters, a fusão informal entre Scattered Spider, LAPSUS$ e ShinyHunters que há dois anos retira dados de empresas e cobra para não os publicar. Geria também os sites de fugas do grupo de ransomware HellCat e do BreachForums. Pelos números citados nas notícias, o grupo atingiu mais de 140 organizações desde o ano passado e arrecadou pelo menos 70 milhões de dólares em extorsões: o sistema interno de tickets da Telefónica em janeiro de 2025, a Orange Romania um mês depois, a Jaguar Land Rover por duas vezes, uma longa lista de empresas alcançadas através das suas contas Salesforce e, em setembro, um sistema do FBI do qual os atacantes afirmam ter retirado dois a três terabytes de processos de funcionários, candidatos e registos médicos.
Agora a parte incómoda. Uma detenção trava a próxima intrusão. Sobre a anterior não muda nada. Cada nome, morada, número de telefone e pedido de apoio que este grupo levou já foi copiado, vendido ou arrumado no arquivo de algum fórum, e quem fica com esse material usa-o exatamente como seria de esperar: mensagens que citam o número da sua conta, chamadas que sabem com que banco trabalha, recuperações de palavra-passe dirigidas a um endereço que deu há anos.
Conte, portanto, com alguns meses de mensagens surpreendentemente bem informadas e trate isso como banal em vez de alarmante, mantendo a regra que vale nos dois casos: nada que chegue sem ter sido pedido recebe a sua palavra-passe, por muito que já saiba sobre si. A verificação de privacidade e contas do Tendvane mostra-lhe que contas estão neste momento com sessão iniciada no PC e até onde chega cada uma.