A economia do 'hire a hacker': principalmente golpes, algumas condenações e compradores desesperados
Procure alguém para invadir uma conta de e-mail e os resultados parecem uma indústria funcional: páginas polidas, atendentes de chat ao vivo, depoimentos de cinco estrelas, tabelas de preços para Gmail, Facebook, Instagram e WhatsApp. Testes acadêmicos e reportagens investigativas contam outra história. A maioria desses vendedores recebe o pagamento e não faz nada, uma minoria entrega exatamente o prometido, e os compradores - pessoas tentando ler a caixa de entrada do parceiro, recuperar uma conta perdida ou mudar uma nota - não têm como distingui-los antes que o dinheiro mude de mãos.
O que acontece quando você realmente paga
O quadro mais claro vem de pesquisadores que se passaram por clientes. Um estudo de 2019 de Mirian e colegas contatou 27 serviços de hack-for-hire fingindo ser compradores e constatou que apenas 5 chegaram a tentar o trabalho, 3 entregaram credenciais funcionais e 3 eram golpes puros: pagamento feito, vendedor desaparecido. Os preços médios ficavam entre cerca de 100 e 500 dólares. O preço anunciado para uma conta Gmail subiu de aproximadamente 123 para 384 dólares em dois anos, e contas com autenticação de dois fatores eram cotadas a praticamente o dobro - cerca de 307 contra 690 dólares. Um truque recorrente no estudo: o vendedor mostra ao comprador um hash embaralhado como "prova" de acesso e depois cobra uma taxa extra para "descriptografá-lo". O hash é falso, e o acesso também. O volume é modesto. Ao longo de cerca de sete meses do estudo, os vendedores atingiram 372 contas únicas - cerca de 13 por semana em toda a população testada. Não é uma operação industrial; é um tiro disperso de pequenas fraudes contra pessoas que, por definição, são fáceis de calar por vergonha. A escada de preços e o reembolso que nunca vem
A escada de varejo é consistente entre vendedores: contas de e-mail por algumas centenas de dólares, redes sociais um pouco mais, alvos "difíceis" com dois fatores no topo, e um menu de adicionais que só cresce - taxas de operadora, taxas de descriptografia, uma "taxa de desbloqueio final". O pagamento é antecipado, geralmente em cripto ou cartões-presente. Cada cobrança extra é pequena o bastante para parecer mais barata do que abandonar o dinheiro já gasto, que é a clássica estrutura de fraude antecipada. Não há mecanismo de reembolso porque não há canal de disputa: um comprador que reclama está admitindo que tentou encomendar um crime. O que os compradores perdem vai além da taxa. Eles entregam ao vendedor o e-mail ou telefone do alvo, além dos próprios dados de contato e rastro de pagamento, criando um registro de que queriam vigiar alguém ou invadir contas. Esse registro pode ser revendido, reaparecer em um vazamento posterior ou ser usado para chantagem direta - um comprador vulnerável à chantagem duas vezes. E em muitas jurisdições encomendar acesso não autorizado a uma conta é em si um crime, então o "cliente" carrega uma exposição legal que o vendedor anônimo nunca terá. A ponta profissional do mercado
Operadores reais de hack-for-hire existem, mas não vendem invasões de Gmail por 384 dólares numa página de vendas. Uma investigação disfarçada do Bureau of Investigative Journalism em 2022 encontrou operadores indianos cobrando de clientes corporativos, acessados por meio de detetives particulares e escritórios de advocacia, entre 3.000 e 20.000 dólares por conta de e-mail, e cita pesquisas do Citizen Lab que ligam a empresa BellTroX a mais de 10.000 contas comprometidas. O trabalho é sobretudo phishing; um operador disse aos repórteres: "Na maioria das vezes, o alvo nos dá a própria senha." Apesar dessa escala, a investigação não identificou processos na Índia, onde o crime prevê até três anos de prisão. A camada de fóruns acima disso se parece mais com um mercado de verdade. A cobertura do KrebsOnSecurity em 2015 sobre o fórum Enigma descrevia membros verificados publicando lances por dados ou acesso a bancos citados nominalmente, depósitos não reembolsáveis em Bitcoin e atividade de negociação obrigatória - estruturas de confiança copiadas de marketplaces legítimos, construídas porque esses vendedores realmente entregam e precisam de clientes recorrentes. A análise de 2022 da Kaspersky sobre fóruns de corretores de acesso mostra o mesmo profissionalismo: das 117 ofertas com preço para acesso a redes corporativas, cerca de 43% ficavam abaixo de 1.000 dólares, o acesso a grandes empresas custava tipicamente de 2.000 a 4.000 dólares, e cerca de três quartos dos lotes eram pontos de entrada RDP ou VPN mais RDP. É assim que um mercado hack-for-hire funcional se parece - sem site brilhante, sem depoimentos e sem interesse em clientes de varejo. Há condenações - só raramente no varejo
Quando operadores reais são pegos, os casos impressionam. Em maio de 2018, o Departamento de Justiça dos EUA anunciou que um hacker-for-hire internacional que conspirou com e ajudou oficiais do FSB russo foi condenado a 60 meses de prisão. As condenações vêm do nível profissional - trabalho ligado a Estados, corretores, espionagem corporativa -, enquanto as páginas de varejo que dominam os resultados de busca produzem relatos de golpe, não denúncias criminais. Dinâmica de listas de golpes em novo figurino
Lido como mercado, o cenário hack-for-hire de varejo funciona com as mesmas mecânicas que tornam perigosas as listas falsas de vendedores nos mercados darknet: sinais de confiança fabricados, resultados garantidos, pagamento antecipado e nenhum histórico verificável por trás. A segunda etapa também é familiar - "hackers de recuperação" que oferecem resgatar cripto roubada e revitimizam quem acabou de perder dinheiro, exatamente como as falsas empresas de recuperação seguem os golpes de saída dos mercados. Os sinais são estruturais: pagamento antecipado, acesso garantido, nenhum caminho de disputa. Quem avalia qualquer vendedor - um marketplace, um agregador de listagens ou um site de "hackers verificados" - está, na verdade, fazendo uma pergunta: esse mercado tem uma camada de confiança funcional ou apenas um figurino? O mesmo raciocínio que separa a lista de golpes real de um mercado de uma fabricada se aplica aqui, e está detalhado em nosso guia sobre listas de golpes e em quem confiar.
