Um tribunal federal de Nova York sentenciou Kamerin Stokes, de 23 anos, a 30 meses de reclusão por seu papel central em um ataque cibernético contra a plataforma de apostas DraftKings, ocorrido em 2022. O crime envolveu a invasão de cerca de 68 mil contas e a comercialização dos acessos em mercados ilegais.
O caso também envolveu Joseph Garrison, cúmplice de Stokes, que foi condenado anteriormente a 18 meses de prisão após confessar participação no ataque.
A técnica do crime: Credential Stuffing
Os criminosos utilizaram uma técnica conhecida como credential stuffing. O método funciona da seguinte forma:
- Invasores compram bancos de dados vazados de outros sites na dark web.
- Usando sistemas automatizados, testam essas combinações de e-mail e senha em novas plataformas (como a DraftKings).
- O ataque é bem-sucedido devido ao hábito comum dos usuários de reutilizar a mesma senha em múltiplos serviços.
No caso da DraftKings, os invasores conseguiram validar o acesso a dezenas de milhares de perfis, explorando essa vulnerabilidade de segurança dos usuários.
Fraude financeira e venda de acessos
Uma vez dentro das contas, o grupo criminoso realizava saques fraudulentos. Eles adicionavam um novo método de pagamento, faziam um depósito simbólico para validá-lo e, em seguida, esvaziavam o saldo das vítimas para contas controladas pelo grupo.
Stokes era o responsável por monetizar o esquema. Sob o pseudônimo “TheMFNPlug”, ele gerenciava uma loja online onde vendia logins de contas que já possuíam saldo disponível. Estima-se que ele tenha movimentado mais de US$ 125 mil apenas com essas vendas.
Reincidência e desdém pela justiça
O que agravou a situação de Stokes foi o seu comportamento após a prisão inicial. Mesmo após assinar um acordo de culpa, ele reabriu sua loja ilegal, expandindo o catálogo de contas roubadas para outros serviços e adotando o slogan “fraude é divertido”.
Em sua defesa, ele alegou que continuou cometendo crimes para custear seus advogados. A violação das condições de liberdade resultou em sua volta imediata à custódia antes da sentença final.
Penalidades milionárias
A sentença proferida pela juíza Naomi Reice Buchwald estabeleceu um rigoroso pacote de punições:
- 30 meses de prisão seguidos de três anos de liberdade supervisionada.
- Confisco de US$ 125.965,53 (lucro direto da atividade).
- Reparação de US$ 1.327.061,00 para indenizar as vítimas.
No total, as sanções financeiras ultrapassam US$ 1,4 milhão (aproximadamente R$ 6,9 milhões). A investigação foi conduzida pelo FBI e apresentada pelo procurador Jay Clayton, servindo como um alerta sobre as consequências severas de crimes cibernéticos financeiros.
