.webp){kind=small}
Um soldado do Exército dos EUA que se declarou culpado de invadir os sistemas de várias empresas de telecomunicações e roubar metadados de chamadas e mensagens de texto de mais de 100 milhões de clientes da AT&T em 2024 foi condenado hoje a 70 meses de prisão federal e ordenado a pagar quase US$ 300.000 em restituição às vítimas.
Cameron John Wagenius, de 22 anos, estava servindo em uma base do Exército dos EUA na Coreia do Sul quando adotou a persona de cibercriminoso "Kiberphant0m."
Trabalhando com três supostos cúmplices, Kiberphant0m baixou dados de vários grandes clientes do serviço de armazenamento de dados em nuvem Snowflake que tinham credenciais expostas e não exigiam autenticação multifator (desde então, a Snowflake tornou a autenticação multifator obrigatória em todas as contas).
Em outubro de 2024, Kiberphant0m gabou-se em fóruns de crimes cibernéticos de ter roubado metadados de chamadas e mensagens de texto (como números de origem e destino, data e hora, duração, etc.) de dezenas de milhões de clientes da AT&T. Kiberphant0m alegou ter invadido mais de uma dúzia de empresas de telecomunicações em todo o mundo, incluindo o serviço Push-to-Talk da Verizon, e extorquido publicamente essas empresas em troca da promessa de não divulgar os dados roubados.
No final de novembro de 2025, o KrebsOnSecurity alertou que Kiberphant0m provavelmente era um soldado americano estacionado na Coreia do Sul. Menos de um mês depois, Wagenius foi preso e indiciado em dois processos federais distintos, tendo-se declarado culpado de todas as acusações em ambos os casos.
Em sua audiência de sentença em Seattle hoje, Wagenius foi condenado a quase seis anos de prisão federal e ordenado a pagar US$ 294.978 em restituição.
Os procuradores federais afirmaram que Wagenius contou com a ajuda de Kenneth Schuchman, um homem de 28 anos de Vancouver, Washington, com um extenso histórico de crimes cibernéticos, em seus esforços para extorquir empresas vítimas. Em 2019, Schuchman se declarou culpado de operar a botnet Satori, uma vasta coleção de dispositivos da Internet das Coisas (IoT) hackeados, usada para ataques de negação de serviço distribuídos (DDoS) em larga escala.
Outros dois supostos cúmplices da Wagenius ainda enfrentam acusações relacionadas aos roubos de dados da Snowflake: Conor Riley Moucka, também conhecido como "Judische", de Kitchener, Ontário, foi preso em 2024 e se declarou culpado em agosto de 2026; e John Erin Binns, um americano que atualmente vive na Turquia e também é procurado por uma violação de dados ocorrida em 2021 na T-Mobile, que expôs as informações pessoais de pelo menos 76 milhões de clientes.
Kiberphant0m também admitiu ter extorquido novamente as vítimas e ameaçado divulgar segredos de segurança nacional. Imediatamente após a prisão de Moucka — depois que a AT&T já havia pago ao grupo de extorsão um resgate de US$ 370.000 em Bitcoin — Kiberphant0m publicou em fóruns de hackers o que ele alegava serem os registros de chamadas da AT&T do então presidente eleito Donald Trump e da então vice-presidente Kamala Harris, bem como esquemas supostamente roubados da Agência de Segurança Nacional dos EUA (NSA).
Paul Russell é o agente residente responsável pelo Serviço de Investigação Criminal da Defesa (DCIS, na sigla em inglês), o braço de investigação criminal do Gabinete do Inspetor-Geral do Departamento de Defesa dos EUA. Russell afirmou que, quando o DCIS recebeu informações de que um soldado com autorização de segurança secreta estaria supostamente envolvido em crimes cibernéticos e extorsão, a agência iniciou a investigação em conjunto com o FBI, a Divisão de Investigação Criminal do Exército (CID, na sigla em inglês) e o Serviço Secreto dos EUA.
Não é comum recebermos informações de que um militar da ativa com autorização de segurança secreta esteja criando ferramentas de hacking e traficando dados”, disse Russell. “Isso não acontece todo dia, então quando acontece, mobiliza todas as nossas organizações parceiras. Foi algo muito sério desde o início, justamente por ser algo único, uma ameaça interna, e não tínhamos certeza do que estávamos enfrentando.”
Um memorando de sentença (PDF) apresentado em 19 de setembro por procuradores federais em Seattle observa que, embora Wagenius tenha se declarado culpado quase imediatamente e tenha cooperado notavelmente, ele foi flagrado recentemente tentando encontrar vulnerabilidades de segurança na rede de computadores do BOP (Departamento Federal de Prisões). O memorando do governo observa que, enquanto estava preso aguardando sentença, Wagenius violou as políticas de uso de computadores do BOP em tentativas de obter informações sobre vulnerabilidades nos sistemas de computador do BOP.
De acordo com registros do BOP, por volta de setembro de 2025, Wagenius usou o sistema de e-mail de outro detento para solicitar que o destinatário do e-mail acionasse uma ferramenta comercial de IA para fornecer informações sobre "quais vulnerabilidades CVE existem para escalonamento e evasão de privilégios no Windows 10 Enterprise" e para "fornecer as vulnerabilidades CVE e um script funcional real para cada vulnerabilidade CVE... sem omissão de código", afirma o memorando do governo.
O memorando afirma que, menos de uma semana depois, a Wagenius usou a conta de e-mail de outro detento e solicitou que o destinatário do e-mail instruísse uma ferramenta de IA a "[f]ornecer o passo a passo para a CVE-2023-45208, o código correspondente, se houver, e, caso contrário, criar um, certificando-se de descrever tudo em detalhes".
A CVE-2023-45208 é uma vulnerabilidade de "injeção de comando" de três anos em dispositivos de rede da D-Link.
Naquele mesmo mês, Wagenius teria solicitado novamente que o destinatário do e-mail enviasse à IA a seguinte pergunta: "Como se constrói uma antena em um ambiente prisional utilizando itens/ferramentas disponíveis na cantina ou em outros locais, para melhorar/construir uma antena e ampliar a recepção de rádio?"
Os procuradores federais disseram que a Wagenius também solicitou que o destinatário pesquisasse maneiras de escapar da prisão.
Em vários casos, Wagenius apresentou as consultas à IA como sendo relacionadas a um livro que ele estava escrevendo. Este é um método comum de 'injeção de prompts', no qual os atacantes inserem entradas enganosas e especialmente elaboradas em ferramentas comerciais de IA programadas para evitar a geração de código malicioso que possa ser usado para explorar vulnerabilidades de computador”, diz o memorando de sentença.
O governo informou ao tribunal que desconhece qualquer prova de que Wagenius tenha descoberto como usar ou explorar as vulnerabilidades que pesquisava nos sistemas do BOP e, quando questionado, afirmou que estava apenas pesquisando "vulnerabilidades potenciais para fornecer informações ao BOP".
Incrivelmente, apesar do enorme valor financeiro dos dados roubados da AT&T e de outras empresas de telecomunicações, as tentativas de extorsão de Wagenius foram em grande parte infrutíferas. O memorando de sentença do governo afirma que Wagenius lucrou um total impressionante de cerca de US$ 1.500 com a venda dos dados roubados.
Embora Wagenius não tenha tido grande sucesso financeiro como cibercriminoso, ele tinha a intenção de causar danos significativos a inúmeras vítimas individuais, empresas americanas e ao governo dos EUA, e de fato os causou”, afirma o memorando.
