O português suspeito de ser criador e administrador de um dos maiores sites de hackers do mundo – o RaidForums – era conhecido no mundo online por diferentes nomes: Omnipotent, Downloading, Shiza e Kevin Maradona. E foi justamente no próprio RaidForums que Diogo Santos Coelho terá caído em várias operações montadas por agentes dos Serviços Secretos americanos (USSS na sigla inglês) e por agentes do Departamento de Investigação Criminal dos EUA (FBI na sigla em inglês).
Diogo Santos Coelho, o principal suspeito na operação Tourniquet, que culminou com a sua detenção, nasceu em fevereiro de 2000 e é natural de Viseu.
Durante meses, membros dos serviços secretos americanos e do FBI operaram infiltrados no RaidForums e em plataformas de comunicação, como o Telegram e o Discord, reunindo informação sobre alguns negócios realizados no fórum de hackers, mas procurando também reunir indícios que os ajudassem a chegar até ao administrador do site. E foi através destas várias operações que foi possível cruzar diferentes fontes de informação que apontavam todas na mesma direção – na de Diogo Santos Coelho.
O ponto de viragem aconteceu a 25 de junho de 2018, quando numa viagem aos EUA, Diogo Santos Coelho tenta entrar no aeroporto internacional de Atlanta. Na altura já estava no radar das autoridades. Ao agente fronteiriço que o interrogou, disse trabalhar como programador e que tinha o seu próprio site, mas sem revelar qual. Mas o que Diogo Santos Coelho não sabia é que as autoridades já tinham um mandado de busca para os seus equipamentos eletrónicos – foi depois de analisar estes equipamentos que o FBI encontrou ligações aos pseudónimos Omnipotent e Kevin Maradona, usados no RaidForums, e a um endereço de e-mail com o qual as autoridades também já tinham contactado com o português.
Quando mais tarde entrou em contacto com o FBI para reaver os seus equipamentos, o português forneceu o número de Cartão de Cidadão português, que as autoridades usaram para fazer um pedido oficial de informações à Coinbase, a corretora de criptomoedas para a qual as autoridades acreditavam que era transferido o dinheiro das operações no RaidForums. Apesar de não ser revelado um valor global, vários relatos permitem concluir que o português terá lucrado milhares de euros com a venda de dados roubados.
Os negócios obscuros
A 24 de julho de 2018, o utilizador que se acreditava ser Diogo Santos Coelho anunciava pela primeira vez no RaidForums os serviços enquanto intermediário (official middleman service, no original em inglês). Oferecia-se para receber os ficheiros roubados pelo vendedor e o dinheiro, pago em criptomoedas, mais especificamente Bitcoin, pelo comprador. Depois de verificar que os ficheiros continham os dados que o vendedor anunciava, passava-os para o comprador, fazendo depois chegar o dinheiro ao vendedor. Ou seja, além de intermediar o negócio, Diogo Santos Coelho terá também validado a ‘qualidade’ dos dados vendidos. No final, o português ficaria com uma percentagem do valor negociado entre as partes.
“Existem provas substanciais de que o Sr. Coelho revia pessoalmente e verificava muito do material ilícito traficado no RaidForums”, lê-se no pedido de extradição feito pela justiça americana ao Reino Unido.
A 16 de dezembro de 2018, o português terá feito uma publicação com o pseudónimo Downloading, no qual vendia 2,3 milhões de números de cartões de crédito, mais nomes, moradas e números de telefone associados. Na época, pediu 25 mil dólares (cerca de 23 mil euros ao câmbio atual) pelos dados roubados.
A 5 de fevereiro de 2019, agentes em representação do estado de Virginia, nos EUA, entraram em contacto com um utilizador que acreditavam ser Diogo Santos Coelho através do RaidForums. A tal base de dados de cartões de crédito ainda estava à venda. A 4 de março desse ano, as partes chegaram a acordo para a venda de 1,1 milhões de registos a troco de 4000 dólares (cerca de 3600 euros) que seriam pagos em Bitcoin. A venda concretizou-se no dia seguinte, a 5 de março. A conversa passou então para o Discord, na qual foi revelado o endereço de Bitcoin para o qual a transferência deveria ser feita. Depois do negócio estar concluído, Diogo Santos Coelho alegadamente bloqueou os utilizadores usados pelos agentes infiltrados, tanto no Discord, como no RaidForums.
Numa outra operação, a 24 de julho de 2020, os serviços secretos americanos compraram dados publicados em outubro de 2016 por um utilizador que se acredita estar associado ao português. Confirmando depois, com a empresa afetada pelo roubo informático, a veracidade dos mesmos.
Já a 25 de abril de 2020, uma fonte a trabalhar com o FBI usou os serviços de intermediação prestados alegadamente por Diogo Santos Coelho. Foi comprado um conjunto de dados, com e-mails e passwords de utilizadores norte-americanos, pelo equivalente a 4000 dólares, que também foram pagos em Bitcoin. Num outro negócio, em agosto de 2021, Diogo Santos Coelho terá sido intermediário numa venda avaliada em 150 mil dólares (cerca de 138 mil euros).
O rasto de ‘migalhas’
Segundo o pedido de extradição, o domínio RaidForums.com foi registado em 2014 quando Diogo Santos Coelho ainda era um menor. Nessa altura foi usada informação falsa para fazer o registo do site, tendo sido usados os pseudónimos Omnipotent e Kevin Maradona em subsequentes registos de domínios ligados ao fórum.
O FBI obteve depois uma cópia da base de dados do back end (a parte do fórum que só é acedida pelos administradores e programadores) do RaidForums (a justiça americana não revela, no entanto, como obteve esta base de dados). Foi através desta base de dados que conseguiu informações de registo da plataformas, endereços de IP, informações de autenticação e acesso a mensagens privadas dos membros e administradores do RaidForums – incluindo dos utilizadores Omnipotent e Downloading, que as autoridades americanas acreditam ser Diogo Santos Coelho.
Segundo a acusação, Diogo Santos Coelho e os seus associados “envolveram-se consciente e intencionalmente num esquema de vários anos para lucrar com a compra e venda em larga escala de acesso a dispositivos através da administração do RaidForums”. No total, as autoridades acreditam que o RaidForums era responsável pela divulgação de mais de dez mil milhões de dados pessoais.
Num conjunto de mensagens captadas pelos agentes infiltrados, o português terá admitido mesmo ter sido ele a piratear uma agência de crédito asiática, roubando dados de bilhetes de identidade e passaportes. “Eu só ataco coisas que me dão carradas de dinheiro… vou vender estes dados no meu site por 30 mil [dólares]”.
As autoridades conseguiram ainda ligar uma conta de Steam – uma plataforma de compra de videojogos – associada ao pseudónimo Omnipotent até Diogo Santos Coelho. As autoridades analisaram, inclusive, os metadados de fotografias captadas por Diogo Santos Coelho num tablet para confirmar a sua identidade.
Diogo Santos Coelho está a ser acusado pelos crimes de conspiração, fraude no acesso a dispositivos e roubo de identidade agravado, por ser o principal suspeito de administrar o RaidForums. Os documentos da acusação dizem que o português terá controlado o fórum de hackers até 31 de janeiro de 2022 – dia no qual foi detido.
