Insider como serviço: o que está em demanda nos mercados subterrâneos

Intel 471 analisou 85 leads relacionados a insiders de 80 atores de ameaça em mercados subterrâneos coletados entre agosto de 2025 e agosto de 2026. O relatório abrange uma ampla gama de países, com exemplos dos Estados Unidos, Reino Unido, Canadá, Brasil, Ucrânia, Rússia, Lituânia, Portugal e outros.

Para começar, uma breve visão geral em números: • 53% dos leads envolviam recrutar novos insiders; o restante dizia respeito à venda de acesso de insiders existente e serviços baseados nele. • Os setores mais frequentemente identificados como alvos foram transporte e logística (22%), seguidos por empresas de tecnologia (20%) e telecomunicações (18%). • FedEx e UPS apareceram 9 vezes — mais frequentemente do que qualquer outra organização específica na amostra. • Anúncios ofereciam até US$ 50.000 por uma introdução ao funcionário certo, e até US$ 10.000 por uma ação específica de insider.

Mas a parte mais interessante do relatório não são os números individuais, mas os dados sobre o que exatamente os atores de ameaça estão comprando.

O valor de um funcionário é determinado por seu impacto em um processo específico. Por exemplo, compradores buscam equipe de suporte, caixas de banco e trabalhadores de logística — pessoas que podem redefinir uma senha, aprovar um pagamento, desbloquear um usuário específico ou redirecionar uma remessa. Esse tipo de acesso costuma ser mais útil do que amplos privilégios administrativos.

Cada vez mais, o que é vendido não é o acesso ou as credenciais em si, mas uma ação concluída. Exemplos incluem realizar um SIM swap, desbloquear uma conta, obter informações de clientes ou interferir na entrega de itens postais. Esse modelo permite que um único insider trabalhe com vários clientes ao mesmo tempo sem se expor diretamente.

O recrutamento está se tornando um serviço por si só. A Intel 471 identificou intermediários que ofereciam encontrar um funcionário em uma empresa especificada pelo cliente, contatá-lo, persuadi-lo a cooperar e entregar um insider pronto.

Um insider pode ser criado antes mesmo de obter acesso. Um usuário em um fórum subterrâneo procurava indivíduos desempregados nos Estados Unidos e oferecia pagá-los para procurar deliberadamente empregos em suporte ao cliente em operadoras de telecomunicações para que pudessem realizar SIM swaps após serem contratados.

Os esquemas mais avançados transformam um insider no participante persistente de uma operação criminosa. Em vez de uma venda única de acesso, eles usam atribuições recorrentes e uma parte dos lucros.

Exemplos mais específicos de anúncios de fóruns subterrâneos podem ser encontrados no relatório completo.

A atividade de insiders se assemelha cada vez mais a um mercado de capacidades organizacionais. Atores de ameaça muitas vezes se importam menos com amplos privilégios do que com a capacidade de realizar uma ação específica dentro de um processo de negócios normal sem levantar suspeitas. Como resultado, as organizações devem se concentrar não apenas em usuários privilegiados, mas também nos próprios processos de negócios — especialmente onde a ação de um único funcionário pode ter consequências graves.