ANWO e SafePay: vazamento e alerta global

A SafePay divulgou posteriormente arquivos atribuídos à ANWO, entre eles acordos de rescisão com nomes, RUT e assinaturas, além de contratos de trabalho e documentos sobre os motivos de desligamento, segundo uma fonte citada pela Newschu. A divulgação ocorre no contexto de uma campanha de extorsão que, segundo um aviso conjunto do CISA, do FBI e de órgãos associados, já soma ao menos 600 vítimas desde agosto de 2024 em organizações de infraestrutura crítica da América do Norte, América do Sul, Europa e Austrália.

O que se sabe sobre o vazamento atribuído à ANWO?

Segundo a cobertura disponível, a SafePay divulgou documentos atribuídos à ANWO, mas essa atribuição não foi confirmada oficialmente. A fonte mencionada pela Newschu fala em acordos de rescisão com dados pessoais e assinaturas, além de contratos de trabalho e papéis ligados aos motivos de desligamento.

Esse material amplia o alcance potencial da exposição, porque não se limitaria a informações corporativas gerais. A presença de nomes, RUT e assinaturas nos acordos eleva a sensibilidade do conteúdo vazado, embora o relatório disponível não indique validação pública da ANWO nem de um órgão chileno.

O que diz o alerta internacional sobre a SafePay?

O aviso conjunto do CISA, do FBI e de órgãos associados atribui à SafePay ao menos 600 vítimas desde agosto de 2024. O sinal é global e alcança organizações de infraestrutura crítica na América do Norte, América do Sul, Europa e Austrália, mas não identifica a ANWO nem confirma uma vítima específica no Chile.

As análises técnicas associadas a esse aviso descrevem um padrão consistente. Os operadores costumam entrar com credenciais comprometidas e com o uso de vulnerabilidades conhecidas em dispositivos de borda expostos à internet, incluindo equipamentos conectados a VPN. A Mallory.ai acrescenta que também são usadas credenciais roubadas ou obtidas por phishing, adivinhação de senhas e exploração de VPN ou outros serviços expostos.

Como o grupo opera segundo as análises técnicas?

A campanha se apoia em dupla extorsão e combina várias formas de pressão. A Cyber Threat descreve um portal de negociação na Tor, ligações telefônicas feitas em nome do grupo e a publicação de dados quando não há acordo.

A Mallory.ai acrescenta que, depois do acesso inicial, a SafePay usa ferramentas legítimas para movimentação lateral e roubo de dados. Esse detalhe se encaixa no padrão descrito pelos avisos sobre o grupo, em que a intrusão é complementada por exfiltração e por mecanismos de negociação para forçar o pagamento.