Para obter um certificado de vacinação falso, basta o usuário enviar seus dados e dinheiro e o “vendedor” devolve os documentos por e-mail. Há promoções especiais em que, em menos de 24 horas, os viajantes podem comprar um teste COVID-19 negativo na oferta “compre 3, pague 2” por US$ 25. Os anúncios comercializando supostas vacinas contra o coronavírus se expandiram para oferecer Johnson & Johnson, AstraZeneca, Sputnik e SinoPharm a partir de US$ 500.

A Darknet corresponde a uma parte da Internet invisível para os mecanismos de busca, na qual se trocam recursos ilícitos, como números de cartões de crédito roubados, drogas, ciberarmas, softwares maliciosos, entre outros, que permitam acessar computadores e dispositivos móveis e, mais recentemente, serviços relacionados com o coronavírus. Em janeiro de 2021, a Check Point reportou as centenas de anúncios na Darknet que promoviam a venda de vacinas. Agora, além deste número ter triplicado, ultrapassando 1.200 anúncios, encontram-se também outras ofertas que prometem certificados de vacinação ou resultados negativos de testes à COVID-19, todos falsos.

“A Darknet está repleta de atividade relacionada com as vacinas, comercializando todo o tipo de certificados relacionados ao coronavírus: testes, certificados de vacinação e, claro, as supostas vacinas de qualquer fornecedor”, explica Oded Vanunu, chefe de pesquisa de vulnerabilidades de produtos na Check Point. “Os cibercriminosos tentam capitalizar o interesse tanto do público que anseia pela vacina como daqueles que procuram evitá-la. É imperativo que as pessoas compreendam que entrar em qualquer uma destas transações é extremamente arriscado porque os cibercriminosos querem essencialmente extrair informação pessoal. Também recomendo veementemente a todas as pessoas a não compartilharem certificados de vacinação nas redes sociais, já que estes podem muito bem chegar à Darknet de alguma forma”, alerta Vanunu.

Vendas de vacinas entre US$ 500 e US$ 1000 por dose

Uma grande variedade de vacinas está sendo disponibilizada na Darknet por preços variados. Desde janeiro deste ano, este tipo de ofertas aumentou em 300%, com o número acima de 1.200 anúncios.

Entre as vacinas anunciadas, constam:
• Oxford – AstraZeneca por US$500
• Johnson & Johnson por US$600
• Sputnik por US$600
• SinoPharm por US$500

Os pesquisadores da Check Point Research (CPR) contataram um fornecedor de certificados falsos de vacinação para, assim, obter o maior número possível de detalhes sobre entrega, preço e nível de autenticidade. Para responder às perguntas dos especialistas da empresa, o anunciante assegurou que já tinha feito esta operação anteriormente muitas vezes, sem qualquer problema. Da parte do comprador, é necessário apenas fornecer os nomes e as datas exatas para constar no certificado efetuando o pagamento de US$ 200.

Um exemplo real de um anúncio identificado pela CPR oferece um cartão de vacinação do Centers for Disease Control and Prevention (CDC), dos Estados Unidos, mediante o pagamento de US$ 200. O vendedor aceita somente a moeda Bitcoin para evitar ser rastreado.

Resultados negativos para a COVID-19: ofertas especiais

Um fórum de hacking na Darknet divulgou um teste para COVID-19 negativo à venda com o seguinte anúncio: “Fazemos testes COVID negativos para pessoas que queiram viajar para o exterior ou para encontrar trabalho. Tudo é feito em 24 horas, sem grandes problemas”. Os anunciantes prometem “alta qualidade” e a seguinte oferta especial: “Compre dois testes negativos e obtenha o terceiro gratuitamente!”.

Os pesquisadores da Check Point encontraram ainda diferentes sites que oferecem a possibilidade de criar rapidamente um certificado de teste negativo bastante verosímil, preenchido diretamente pelo próprio usuário por meio de uma interface “amigável” por apenas US$ 25. O resultado chega em 30 minutos discretamente pela caixa de e-mail.

Recomendações da Check Point para evitar a utilização de documentos falsos

Autenticação. As pessoas devem procurar por indicadores de autenticidade ou falta dela, como erros de ortografia, logotipos de má qualidade ou uso de expressões e terminologias incorretas (como “doença do corona” ou “epidemia da COVID”).

Gestão interna. Cada país deve gerenciar internamente um repositório central de testes e pessoas vacinadas, o qual pode ser compartilhado com segurança entre os órgãos autorizados relevantes dentro do país.

Assinatura digital. Todos os dados relativos a testes ou vacinação efetuada devem ser registados digitalmente por meio de chaves encriptadas.

Códigos digitalizados. Aeroportos, guardas de fronteira e qualquer agente oficial de fiscalização devem ter a capacidade de escanear um QR Code ou código de barras (com a respectiva assinatura digital, pois, caso contrário, será altamente suscetível a ataques) no certificado. O código deve ser vinculado a um repositório seguro que pode validar a autenticidade do documento e das informações contidas, ou seja, se a pessoa em questão recebeu realmente um teste para a COVID-19 negativo ou se foi, de fato, vacinada.

Compartilhamento de informação válida. No futuro, os países devem ser capazes de compartilhar entre si os dados assinados digitalmente para que o cruzamento de fronteiras seja feito em segurança. Por exemplo, Grécia e Israel já concordaram em reconhecer os respectivos certificados de vacinação (também conhecidos como “passaportes verdes”).