O grupo de ransomware LockBit voltou a colocar uma grande instituição financeira na mira ao anunciar que teria roubado dados do U.S. Bank e ameaçar publicar as informações caso um resgate não seja pago. A organização criminosa incluiu o banco em seu portal de vazamentos e estabeleceu um prazo de 14 dias para a suposta divulgação dos arquivos.
Apesar da ameaça, o U.S. Bank afirma que não encontrou evidências de comprometimento de seus sistemas internos nem de acesso não autorizado à sua rede. A instituição informou que está investigando as alegações, mas ressaltou que, até o momento, não há indícios de que a infraestrutura corporativa tenha sido invadida.
A situação ilustra um cenário cada vez mais comum no cibercrime moderno: grupos de ransomware utilizam a ameaça de vazamento público como instrumento de pressão, mesmo quando as circunstâncias da suposta invasão ainda não estão confirmadas.
LockBit estabeleceu prazo para o vazamento
O nome do U.S. Bank apareceu recentemente no portal de extorsão utilizado pelo LockBit, acompanhado de uma contagem regressiva para a divulgação dos dados supostamente obtidos durante o ataque. Segundo as publicações associadas ao grupo, o vazamento ocorreria caso não houvesse um acordo financeiro antes do fim do prazo estipulado.
Até o momento, o grupo não apresentou publicamente uma amostra verificável do conteúdo que afirma possuir, nem detalhou o volume ou a natureza dos arquivos supostamente roubados.
Banco diz que investigação continua
Em nota, o U.S. Bank confirmou que está ciente das alegações feitas pelo LockBit e conduzindo uma investigação interna. A instituição, porém, foi categórica ao afirmar que não há evidências atuais de impacto em seus sistemas nem de acesso não autorizado à sua rede corporativa.
Essa postura é relativamente comum em incidentes desse tipo. Grandes organizações costumam iniciar investigações forenses antes de confirmar oficialmente qualquer comprometimento, especialmente quando as primeiras informações surgem a partir de publicações feitas pelos próprios grupos criminosos.
Extorsão nem sempre significa ransomware tradicional
Embora o LockBit seja conhecido principalmente por ataques de ransomware com criptografia de sistemas, sua operação evoluiu para um modelo de dupla extorsão.
Nesse formato, os criminosos procuram primeiro roubar informações sensíveis e, em seguida, ameaçam divulgar os dados publicamente para pressionar a vítima a pagar. Em alguns casos, a extorsão acontece mesmo sem a criptografia dos servidores.
Isso significa que uma publicação em um portal de vazamentos não comprova automaticamente que toda a infraestrutura da vítima foi comprometida ou que houve interrupção operacional.
Setor financeiro continua entre os principais alvos
Instituições financeiras permanecem entre os alvos mais valiosos para grupos de ransomware.
Além do potencial de retorno financeiro, bancos concentram grandes volumes de informações pessoais, documentos regulatórios, dados corporativos e comunicações estratégicas.
Mesmo quando não conseguem interromper operações bancárias, criminosos podem tentar utilizar o risco reputacional associado ao vazamento de dados como ferramenta de negociação.
LockBit segue ativo apesar das operações policiais
O caso também demonstra a capacidade de recuperação do LockBit.
Em 2024, uma ampla operação internacional de forças de segurança desmantelou parte da infraestrutura do grupo, apreendeu servidores e divulgou ferramentas de descriptografia para vítimas. Ainda assim, a organização voltou a operar com novas variantes e continua aparecendo em campanhas de extorsão contra empresas e instituições de grande porte.
Essa resiliência mostra que operações policiais podem enfraquecer grupos criminosos, mas nem sempre eliminam completamente seus afiliados ou sua capacidade de reorganização.
Ainda não há confirmação de vazamento
Até o momento, o caso permanece em uma fase de alegações conflitantes.
De um lado, o LockBit afirma possuir dados do U.S. Bank e ameaça publicá-los. Do outro, o banco declara que não encontrou evidências de invasão ou acesso não autorizado e continua analisando a situação.
Sem a divulgação de evidências técnicas verificáveis ou confirmação oficial de comprometimento, não é possível afirmar que os dados do banco tenham sido efetivamente roubados. O episódio reforça a importância de tratar anúncios feitos por grupos de ransomware com cautela até que investigações independentes confirmem os fatos.
