Por Flávio Nogueira: É inegável o aumento de golpes e de ataques cibernéticos às pessoas e companhias no mundo todo. De acordo com a Fortinet, em 2021 ocorreram mais de 88,5 bilhões de tentativas de ataques cibernéticos somente no Brasil, número 950% maior do que em 2020.
Em um ataque com sucesso a uma pessoa ou empresa, seja ele via phishing ou por meio de sites maliciosos, resultando em roubos de credenciais e dados sigilosos, a pergunta que fica é: para onde vão estes dados roubados? Muitas vezes a resposta acaba sendo a Dark Web.
Mas o que é a Dark Web? Há diferenças entre Surface, Deep Web e Dark Web?
Começando por cima, a Surface é a parte da Web indexada por buscadores como Google, Bing e Yahoo. Alguns exemplos de sites desta camada são: Wikipédia, Blogs, E-commerces e sites de notícias.
Já a Deep Web é a parte não indexada pelos buscadores mencionados acima, ou seja, não é possível encontrar páginas desta camada realizando uma simples busca no Google. Um exemplo de Deep Web é a intranet de uma empresa, na qual se faz necessário o uso de credenciais para acesso. Outro exemplo são provedores de filmes via streaming, como Netflix. Mesmo sendo possível encontrá-la via Google, para ter acesso ao seu conteúdo é necessário ter as credenciais de identificação.
Por fim, a Dark Web. Também conhecida como a parte mais profunda da internet, é possível acessá-la somente através de navegadores específicos como, por exemplo, Tor (The Onion Router). Para garantir sua privacidade, o navegador Tor envia o seu tráfego por três servidores aleatórios (também conhecidos como relays) na rede Tor. O último relay do circuito, o “relay de saída”, envia o tráfego para fora, na internet pública.
Desta forma, o seu provedor, assim como quem tentar monitorar sua conexão local, não conseguirá rastrear seus movimentos na internet, nem os nomes e endereços de sites que você visitar.
Por conta desta infraestrutura e de seu anonimato, a Dark Web é utilizada muitas vezes para hospedar fóruns de diversos assuntos, bibliotecas online, serviços de hacking, sites de perguntas e respostas, carteiras de bitcoin, blogs e serviços de e-mail.
Também é possível encontrar versões de veículos de notícias e plataformas nas quais denunciantes podem compartilhar informações com segurança. Mas, por conta deste anonimato, os usuários também a utilizam para vender produtos ilegais, credenciais vazadas de diversos tipos de sites e até serviços de malware.
Conheça a tabela de preços na Dark Web
De acordo com a Privacy Affairs – website de fonte de privacidade de dados, informações e pesquisas sobre segurança cibernética – no artigo Dark Web Price Index 2022 foi realizada uma análise dos preços de produtos e serviços ilegais disponíveis na Dark Web do período de fevereiro de 2021 a junho de 2022. Esta já é a terceira versão deste relatório, e é possível consultar as informações dos anteriores, de 2021 e de 2020.
Neste relatório publicado, nota-se que são vendidas informações como dados de cartões de crédito, contas em redes sociais como Facebook, Instagram e Twitter, contas em sites de compras de criptomoedas e documentos falsos escaneados e físicos.
Segue abaixo a tabela de preços na Dark Web:
| Categoria | Produto | Média de preço na Dark Web (USD) em 2022 |
| Dados de cartão de crédito | Detalhes de cartão de crédito, saldo da conta até 5.000 | $120 |
| Dados de cartão de crédito | Detalhes do cartão de crédito, saldo da conta até 1.000 | $80 |
| Dados de cartão de crédito | Logins bancários online roubados, mínimo de 2.000 na conta | $65 |
| Dados de cartão de crédito | Detalhes de cartão de crédito Israelense com CVV | $25 |
| Dados de cartão de crédito | Detalhes do cartão de crédito hackeado (global) com CVV | $15 |
| Dados de cartão de crédito | Detalhes de cartão de crédito espanhol com CVV | $ 25 |
| Dados de cartão de crédito | American Express clonado com PIN | $ 25 |
| Dados de cartão de crédito | Dados de cartão de crédito hackeados do Canadá com CVV | $ 18 |
| Dados de cartão de crédito | Dados de cartão de crédito hackeados da Austrália com CVV | $ 23 |
| Dados de cartão de crédito | Mastercard clonado com PIN | $ 20 |
| Dados de cartão de crédito | VISA clonado com PIN | $ 20 |
| Dados de cartão de crédito | Logins bancários online roubados, mínimo de 100 na conta | $ 35 |
| Dados de cartão de crédito | Detalhes de cartão de crédito da Austrália hackeados com CVV | $ 30 |
| Dados de cartão de crédito | Conta Walmart com cartão de crédito anexado | $ 10 |
| Dados de cartão de crédito | Dados de cartão de crédito hackeados dos EUA com CVV | $ 17 |
| Dados de cartão de crédito | Detalhes do cartão de crédito hackeado no Reino Unido com CVV | $ 20 |
| Serviços de processamento de pagamentos | Transferência do PayPal de conta roubada, saldos de US$ 1.000 a US$ 3.000 | $ 45 |
| Serviços de processamento de pagamentos | Conta verificada CashApp | $ 800 |
| Serviços de processamento de pagamentos | Detalhes da conta do PayPal roubados, saldos mínimos de $ 1.000 | $ 20 |
| Serviços de processamento de pagamentos | Detalhes de conta Skrill totalmente verificados no Reino Unido roubados | $ 120 |
| Serviços de processamento de pagamentos | 50 logins de contas do PayPal hackeados | $ 150 |
| Serviços de processamento de pagamentos | Conta Hackeada do PerfectMoney | $ 110 |
| Serviços de processamento de pagamentos | Transferências do PayPal de conta roubada, saldo de US$ 100 a US$ 1.000 | $ 15 |
| Serviços de processamento de pagamentos | Movo.Cash Login | $ 14 |
| Serviços de processamento de pagamentos | Conta Hackeada da Western Union | $ 25 |
| Serviços de processamento de pagamentos | Detalhes da conta do PayPal roubados, saldos mínimos de $ 100 | $ 10 |
| Serviços de processamento de pagamentos | Transferência Western Union de conta roubada, saldos de $ 1.000 + | $ 30 |
| Serviços de processamento de pagamentos | Detalhes da conta do PayPal roubados, sem saldo | $ 15 |
| Serviços de processamento de pagamentos | Conta Stripe verificada com gateway de pagamento | $ 1.000 |
| Serviços de processamento de pagamentos | Conta Hackeada do Cartão Weststein | $ 710 |
| Serviços de processamento de pagamentos | Conta TransferGo hackeada | $ 510 |
| Contas de carteiras de criptomoedas | Conta verificada Kraken | $ 250 |
| Contas de carteiras de criptomoedas | Conta verificada Cex.io | $ 170 |
| Contas de carteiras de criptomoedas | Conta verificada da Coinbase hackeada | $ 120 |
| Contas de carteiras de criptomoedas | Conta verificada Coinfield.com | $ 120 |
| Contas de carteiras de criptomoedas | Conta LocalBitcoins verificada nos EUA | $ 120 |
| Contas de carteiras de criptomoedas | Conta verificada Blockchain.com | $ 90 |
| Contas de carteiras de criptomoedas | Conta verificada Crypto.com | $ 250 |
| Contas de carteiras de criptomoedas | Conta verificada Binance | $ 260 |
| Contas de carteiras de criptomoedas | Conta verificada Xcoins | $ 320 |
| Contas de carteiras de criptomoedas | Conta verificada Bitit.io | $ 400 |
| Contas de carteiras de criptomoedas | Conta verificada Bit2me | $ $ 120 |
| Redes sociais | Conta do Facebook hackeada | $ 45 |
| Redes sociais | Conta do Instagram hackeada | $ 40 |
| Redes sociais | Conta do Twitter hackeada | $ 25 |
| Redes sociais | Conta do Gmail hackeada | $ 65 |
| Redes sociais | Seguidores do Instagram x 1000 | $ 4 |
| Redes sociais | Seguidores Spotify x 1000 | $ 1 |
| Redes sociais | Twitch seguidores x 1000 | $ 4 |
| Redes sociais | Seguidores da página da empresa do LinkedIn x 1000 | $ 10 |
| Redes sociais | Seguidores do Pinterest x 1000 | $ 3 |
| Redes sociais | Soundcloud com reproduções x 1000 | $ 1 |
| Redes sociais | Retweets do Twitter x 1000 | $ 20 |
| Redes sociais | Curtidas do Instagram x 1000 | $ 5 |
| Contas em serviços | Conta Netflix, assinatura de 1 ano | $ 25 |
| Contas em serviços | Conta Bet365 | $ 40 |
| Contas em serviços | Conta Kaspersky | $ 5 |
| Contas em serviços | NBA League Pass | $ 7 |
| Contas em serviços | Várias contas de sites adultos | $ 5 |
| Contas em serviços | Canva Pro anualmente | $ 6 |
| Contas em serviços | CNBC Pro | $ 3 |
| Contas em serviços | Netflix 4K 1 ano | $ 4 |
| Contas em serviços | HBO | $ 4 |
| Contas em serviços | Orange TVy | $ 4 |
| Contas em serviços | Hulu | $ 5 |
| Contas em serviços | Conta hackeada do Uber | $ 15 |
| Contas em serviços | Conta hackeada de motorista Uber | $ 35 |
| Documentos Forjados – Digitalizados | Modelos de contas de serviços públicos | $ 25 |
| Documentos Forjados – Digitalizados | Carteira de motorista de Nova York | $ 70 |
| Documentos Forjados – Digitalizados | Modelos de cheque comercial dos EUA | $ 10 |
| Documentos Forjados – Digitalizados | Passaporte russo escaneado | $ 100 |
| Documentos Forjados – Digitalizados | Selfie segurando identificação do EUA | $ 120 |
| Documentos Forjados – Digitalizados | Carteira de motorista de Minnesota | $ 150 |
| Documentos Forjados – Digitalizados | Carteira de motorista de NSW (Austrália) | $ 150 |
| Documentos Forjados – Digitalizados | Carteira de habilitação de Alberta CA (digitalização) | $ 165 |
| Documentos Forjados – Físicos | Passaporte Maltês | US$ 3.800 |
| Documentos Forjados – Físicos | Identificação nacional da Letônia | $ 160 |
| Documentos Forjados – Físicos | Passaporte da Holanda | US$ 3.800 |
| Documentos Forjados – Físicos | Passaporte da Polônia | US$ 3.800 |
| Documentos Forjados – Físicos | Passaporte francês | US$ 3.800 |
| Documentos Forjados – Físicos | Vários passaportes da União Europeia | US$ 3.800 |
| Documentos Forjados – Físicos | ID de Delaware | $ 150 |
| Documentos Forjados – Físicos | ID de Indiana | $ 150 |
| Documentos Forjados – Físicos | Identificação nacional da Letônia | $ 500 |
| Documentos Forjados – Físicos | ID de Montana | $ 150 |
| Documentos Forjados – Físicos | ID de Nevada | $ 160 |
| Documentos Forjados – Físicos | ID do Texas | $ 150 |
| Documentos Forjados – Físicos | Green Card falso dos EUA | $ 160 |
| Documentos Forjados – Físicos | Carteira de motorista de Nova Jersey | $ 160 |
| Documentos Forjados – Físicos | ID da Louisiana | $ 150 |
| Documentos Forjados – Físicos | Passaporte Maltês | US$ 6.500 |
| Documentos Forjados – Físicos | ID de Utah | $ 150 |
| Documentos Forjados – Físicos | Identificação Nacional da União Europeia (média) | $ 160 |
| Documentos Forjados – Físicos | Carteira de motorista dos EUA (média) | $ 150 |
| Documentos Forjados – Físicos | Passaporte lituano | US$ 3.800 |
| Base de dados de e-mail | 10 milhões de endereços de e-mail nos EUA | $ 120 |
| Base de dados de e-mail | 600 mil e-mails da Nova Zelândia | $ 110 |
| Base de dados de e-mail | 2.4 milhões de e-mails do Canadá | $ 100 |
| Malware | Europa e de alta qualidade por 1.000 instalações | US$ 1.800 |
| Malware | Alta qualidade do Reino Unido por 1.000 instalações | US$ 1.800 |
| Malware | Europa baixa qualidade, baixa velocidade, baixa taxa de sucesso, por 1.000 instalações | $ 120 |
| Malware | EUA, CA, Reino Unido, AU qualidade média, taxa de sucesso de 70% por 1.000 instalações | US$ 1.200 |
| Malware | CA de alta qualidade, por 1.000 instalações | US$ 1.200 |
| Malware | EUA de alta qualidade, por 1.000 instalações | US$ 1.700 |
| Malware | EUA, CA, Reino Unido, AU de baixa qualidade, velocidade lenta e baixa taxa de sucesso x 1000 instalações | $ 800 |
| Malware | Europa, envelhecido, de alta qualidade, por 1.000 instalações | US$ 1.100 |
| Malware | Somente nos EUA, qualidade média, taxa de sucesso de 70%, por 1.000 instalações | $ 900 |
| Malware | Europa, qualidade média, taxa de sucesso de 70%, por 1.000 instalações | $ 450 |
| Malware | Global, baixa qualidade, baixa velocidade, baixa taxa de sucesso, por 1.000 instalações | $ 45 |
| Malware | Global, qualidade média, taxa de sucesso de 70%, por 1.000 | $ 115 |
| Malware | SO Android por 1.000 instalações | $ 950 |
| Malware | Qualidade premium, por 1.000 | $ 5.500 |
| Ataques DDoS | Site desprotegido, 10 a 50 mil solicitações por segundo, 1 mês | $ 850 |
| Ataques DDoS | Site desprotegido, 10 a 50 mil solicitações por segundo, 1 semana | $ 450 |
| Ataques DDoS | Europa, baixa qualidade, baixa velocidade, baixa taxa de sucesso por 1.000 solicitações | $ 300 |
| Ataques DDoS | Site desprotegido, 10 a 50 mil solicitações por segundo, 1 hora | $ 10 |
| Ataques DDoS | Site desprotegido, 10 a 50 mil solicitações por segundo, 24 horas | $ 45 |
| Ataques DDoS | Site premium protegido, 20 a 50 mil solicitações por segundo, vários proxies elite, 24 horas | $ 200 |
É possível visualizar o relatório completo no site da Privacy Affairs aqui.
Contexto no Brasil
Entrar na Dark Web é um mito para muitas pessoas, virando muitas vezes até uma lenda urbana, não sabendo ao certo o que se vai encontrar, se é difícil se conectar com segurança e quais os riscos de acessá-la, deixando muitas pessoas curiosas.
Diante disto, entramos na Dark Web e realizamos algumas buscas para trazermos alguns dados de lá, mas no contexto do Brasil. Encontramos desde venda de cartões de créditos clonados, vazamento de dados de empresas brasileiras, a até venda do passaporte da vacina. Segue um pouco do que foi encontrado:
Obs: possíveis dados pessoais foram censurados.
- Venda do passaporte da vacina para o Brasil, incluindo adição de informação no SUS:
- Venda de cartões de crédito brasileiros com compra internacional habilitada:
- Vendas de passaporte brasileiro com ou sem registro:
- Vendas de cartões de créditos brasileiros:
- Venda de vazamento de dados de uma empresa brasileira:
- Venda de dados pessoais de brasileiros:
Há também diversos fóruns nos quais é possível fazer perguntas e receber respostas, ambas em anonimato. Há perguntas sobre tudo:
Vale ressaltar que não estamos incentivando a busca por coisas ilegais na Dark Web.
Conclusão
Este estudo nos ajuda a entender a necessidade de manter a nossa privacidade, a importância de ter uma senha complexa e de evitar campanhas de phishing, além de informar sobre a precificação e venda dos nossos dados, sobre como estes são valiosos e a importância de nos mantermos seguros. Assim como em todo lugar, existem pessoas bem e mal-intencionadas, e na Dark Web não é diferente.
Nem tudo o que é vendido na Dark Web é real – muitas vezes golpistas tentam enganar outras pessoas. Portanto, lembre-se, ao acessar a Dark Web, de procurar fazê-lo com a maior privacidade e segurança possível.