FBI cortou a energia de uma fábrica chinesa de hacking que executava 2 milhões de tarefas por dia

Na quarta-feira, 26 de agosto de 2026, o Departamento de Justiça e o FBI anunciaram apreensões, autorizadas por tribunal, de domínios na internet por trás de duas plataformas complementares de hacking, descritas como “QScan” e “QTRouter”, usadas por hackers patrocinados pelo Estado chinês para atacar infraestruturas críticas dos EUA⁠2. O FBI afirmou ter desmantelado uma botnet e apreendido duas plataformas usadas para invadir a NASA, o Senado dos EUA, o Departamento de Energia, o Federal Reserve e outras agências e redes críticas⁠4.

A operação tinha como alvo um grupo patrocinado pelo Estado chamado QTFY, também conhecido como QT, QTCWIBER e Quantum Typhoon, cuja autoria foi atribuída à empresa Nanjing Xinjiuwei Network Technology Co., sediada na China⁠6⁠8. O QTFY vendeu serviços de hacking ao Ministério da Segurança do Estado da RPC e ao Exército de Libertação Popular⁠8. Segundo a CyberScoop, o conjunto completo de ferramentas de hacking permitiu que invasores financiados pelo governo chinês se infiltrassem sem serem detectados em redes altamente sensíveis por mais de oito anos⁠5.

Essa descrição industrial é importante porque as duas plataformas apreendidas tinham funções diferentes. O QScan é descrito como uma camada de varredura e exploração, criada para encontrar sistemas vulneráveis em escala global na internet e, em seguida, tentar invadi-los⁠8. O QTRouter é a camada de ofuscação, que encaminha o tráfego de ataque por dispositivos comprometidos para disfarçar sua origem⁠2⁠9. A SecurityAffairs confirma que as duas plataformas eram usadas para ocultar invasões e atacar infraestruturas críticas dos EUA⁠9.

Juntas, elas resolviam os dois problemas mais difíceis de uma campanha de espionagem prolongada: como encontrar a próxima brecha sem ser visto procurando e como atravessá-la sem parecer que o ataque veio da China. A varredura encontra a vulnerabilidade. O roteador oculta a aproximação. Quando a vítima registra uma invasão, o endereço de origem aponta para algum lugar comum e o método parece ruído normal da internet.

A lista de vítimas divulgada até agora é restrita, mas excepcionalmente sensível. A Reuters informa que hackers chineses invadiram o Departamento de Justiça, a NASA, o Federal Reserve e o Senado⁠3. O Register acrescenta o Departamento de Energia⁠4. Essas não são redes periféricas. Elas abrangem segurança pública, política monetária, pesquisa espacial e científica, comunicações legislativas e interesses ligados à energia e à segurança nuclear.

O Departamento de Justiça apresentou a ação de 26 de agosto como uma apreensão técnica, e não como o anúncio de prisões ou acusações formais. O Departamento de Justiça e o FBI declararam que as apreensões tinham o objetivo de “impedir que agentes cibernéticos maliciosos tivessem acesso” às plataformas⁠2. Na prática, isso significou usar a autoridade judicial para assumir o controle dos domínios dos quais as plataformas dependiam, cortando o caminho dos operadores de volta à própria infraestrutura.

Um Comunicado Conjunto de Segurança Cibernética, JCSA-20260826-01, foi divulgado em 26 de agosto de 2026 pelo FBI, pela NSA e pela Cyber National Mission Force⁠10. O comunicado coordenado indica que o governo tratou o caso como algo além de uma ação policial de um dia. Foi também um alerta aos defensores: aqui está a infraestrutura, é assim que ela funcionava; procurem-na em suas redes.

A principal questão ainda sem resposta é a durabilidade. A cobertura da operação levantou a mesma questão que acompanha quase toda ação para derrubar uma botnet: se a remoção dos domínios deixa a rede permanentemente às cegas ou se milhares de dispositivos ainda infectados permanecem prontos para serem reconstruídos⁠5. Uma apreensão que interrompe o comando e controle não limpa automaticamente roteadores, câmeras, servidores ou outros dispositivos de borda comprometidos, e operadores com oito anos de investimento têm fortes incentivos para reconstruir a operação.

O modelo de negócios do grupo torna essa questão da durabilidade ainda mais importante. A descrição não era a de um grupo isolado alugando servidores. A autoria do QTFY foi atribuída a uma empresa, a Nanjing Xinjiuwei Network Technology Co., acusada de vender serviços de hacking a clientes dos setores de inteligência e militar⁠6⁠8. Uma empresa contratada que vende acesso pode considerar uma operação de desmantelamento um custo de fazer negócios, desde que seus métodos, funcionários e relações com os clientes sobrevivam.

Por isso, o prazo de oito anos é tão importante quanto o dia em que foram executadas dois milhões de tarefas⁠5⁠8. Oito anos permitem que as ferramentas amadureçam, que as listas de alvos se acumulem e que as invasões sejam preparadas lentamente o bastante para evitar alertas. Isso também significa que muitas organizações vítimas talvez ainda não saibam o que foi levado, quando o acesso persistente foi estabelecido ou se uma invasão posterior usou credenciais roubadas muito antes.

O que falta no registro público é tão revelador quanto o que foi anunciado. As informações disponíveis não especificam os nomes exatos dos domínios apreendidos, citações oficiais literais de autoridades identificadas nem a extensão total dos danos e do acesso persistente nas redes das vítimas. Também não confirmam de forma independente números e vínculos mais amplos discutidos em torno do caso, incluindo alegações sobre roteamento mundial, o ano de fundação da empresa ou supostas ligações com redes de freelancers.

Essa cautela deve orientar a leitura do anúncio de 26 de agosto. O núcleo confirmado é significativo por si só: duas plataformas, uma para localizar vítimas em grande escala e outra para ocultar o caminho do ataque, operaram durante anos em nome de clientes estatais e miraram algumas das redes mais sensíveis dos EUA⁠2⁠8⁠9. A apreensão interrompe esse arranjo, mas não prova que ele tenha chegado ao fim⁠2⁠5.

Para os defensores de redes, a mensagem prática está no próprio processo do comunicado conjunto. Um comunicado de segurança cibernética numerado JCSA-20260826-01 e divulgado por três agências dos EUA no mesmo dia da apreensão dá às organizações um ponto de partida para buscar sinais de invasão, mesmo que as questões mais amplas sobre perda de dados e reconstrução permaneçam em aberto⁠10. A próxima medida de sucesso não será o comunicado à imprensa. Será saber se a fábrica de varredura permanece em silêncio.