O Departamento de Justiça dos EUA, o Federal Bureau of Investigation (FBI) e o National Bureau of Investigation da Finlândia lançaram recentemente uma operação conjunta e prenderam com sucesso um homem de 19 anos suspeito de participar num dos maiores grupos de crimes cibernéticos do mundo no Aeroporto de Helsínquia, na Finlândia. De acordo com dados divulgados pelo Departamento de Justiça dos EUA, o grupo de hackers, chamado Scattered Spider, já extorquiu mais de US$ 100 milhões em pagamentos de resgate por meio de ataques de ransomware.
O suspeito preso desta vez se chama Peter Stokes, que possui dupla cidadania dos Estados Unidos e da Estônia. No momento do incidente, ele tentava embarcar em um voo para o Japão em Helsinque, mas foi interceptado por policiais antes de embarcar no avião. A polícia encontrou uma grande quantidade de provas criminais extremamente incriminatórias em dois discos rígidos que ele carregava consigo.
O gatilho direto que levou à prisão de Stokes foi o ataque cibernético lançado pelo grupo a uma joalheria de luxo nos Estados Unidos em maio de 2025. Naquela época, o invasor usou o Google Voice para ligar para o balcão de atendimento de TI da joalheria, fingindo ser um funcionário da empresa, e enganou com sucesso o técnico para que ele redefinisse as credenciais da conta. A mudança resultou no comprometimento de três contas corporativas, duas das quais também tinham direitos de administrador. Posteriormente, membros de gangues, incluindo Stokes, roubaram dados importantes, criptografaram-nos e extorquiram US$ 8 milhões em criptomoedas do joalheiro. Embora o joalheiro tenha eventualmente recuperado o controle do sistema e se recusado a pagar o resgate, a interrupção prolongada dos negócios resultou em perdas operacionais de aproximadamente US$ 2 milhões. Isto também levou os procuradores e os responsáveis pela aplicação da lei a começarem a seguir as pistas e a lançarem o rastreio transfronteiriço.
Durante a investigação do caso, a gigante da tecnologia Microsoft prestou assistência fundamental. A Microsoft forneceu os chamados dados de “Identificador Global de Dispositivo” (GDID) ao FBI. GDID é um número de identificação exclusivo atribuído a cada dispositivo com Windows instalado e é usado para rastrear dados de telemetria de um dispositivo específico. Documentos judiciais mostram que Stokes usou o sistema Windows 11 durante o crime. Foi por meio dessa assinatura que os investigadores associaram com sucesso seus dispositivos de hardware físico a atividades de rede e localizações geográficas específicas. Os dados fornecidos pela Microsoft abriram a linha do tempo e registraram em detalhes pistas importantes, como atividades de rede de Stokes, histórico de jogos online, endereço IP, uso de ferramentas (incluindo Ngrok) e status do Azure.
Na verdade, já em 2024, as autoridades policiais já conheciam a verdadeira identidade de Stokes. No entanto, como ele ainda era menor de idade na época e vivia há muito tempo entre a Estônia e os Emirados Árabes Unidos, a polícia optou por monitorá-lo secretamente e não fechou a rede até esse momento. A queixa criminal oficial também incluía uma irônica prova física: Stokes certa vez postou uma selfie no Snapchat na qual cobria o rosto com dezenas de notas de cem dólares. Com base no estilo do papel de parede, carpete e mobília no fundo da foto, a polícia determinou com precisão que o local onde ela foi tirada foi o Empire Hotel, em Nova York. Os registros mostram que ele visitou o site oficial do hotel na Alemanha e depois voou para Nova York.
Stokes foi extraditado para os Estados Unidos depois de ser preso na Finlândia. Em 30 de junho de 2026, ele compareceu pela primeira vez ao tribunal federal de Chicago. Stokes ainda está sob custódia policial e enfrenta acusações de conspiração, intrusão cibernética e fraude.