A MGM Resorts International divulgou um documento regulatório para as autoridades norte-americanas na última semana, informando que os custos por perdas e danos causados pelo Ciberataque ocorrido em setembro atingiu valor superior a US$ 100 milhões. A companhia ainda teria contabilizado outros US$ 10 milhões em custeio emergencial de resposta à crise. Os valores forma abatidos já na prestação de contas trimestral da companhia.
De acordo com o posicionamento da empresa, as interrupções de serviço teriam um impacto negativo de US$ 100 milhões sobre os lucros ajustados da propriedade antes de juros, impostos, depreciação, amortização e aluguel para seus resorts em Las Vegas e nos EUA em geral. Já o custo de US$ 10 milhões teria sido direcionado a consultoria tecnológica corretiva, serviços jurídicos e de assessoria.
A MGM comentou a apuração do The Wall Street Journal, dizendo que seu seguro Cyber era suficiente para cobrir as perdas financeiras. Além disso, em geral, o incidente não teria gerado impacto material sobre o desempenho de 2023.
A rede de hotéis norte-americana havia desativado parte de seus sistemas digitais no dia 10 de setembro, devido a um incidente cibernético ocorrido em suas dependências. À época, diversos serviços e atividades da companhia foram impactadas pela ocorrência e, segundo reportou a NBC News, as dificuldades podem ter se espalhado pelas propriedades da organização nos Estados Unidos.
Em primeira nota publicada nas redes sociais, a MGM confirmou o problema de Cibersegurança como a causa da paralização. Sem dar muitos detalhes, a empresa informou estar investigando o caso junto a especialistas externos para definir o quanto antes a natureza e a extensão do evento. A organização também já alertou as autoridades a respeito do ocorrido.
Pouco depois, em um movimento sem precedentes, o grupo de ransomware ALPHV assumiu publicamente a responsabilidade pelo recente ataque ao MGM Resorts, em Las Vegas, nos Estados Unidos, publicando uma declaração em seu site na Dark Web.
O ALPHV é um dos principais grupos de ameaças RaaS (Ransomware as a Service), responsável por quase 9% de todas as vítimas publicadas nos últimos 12 meses em sites da Dark Web; e, nesse período, o ALPHV publicou a identidade de cerca de 400 das suas vítimas que se recusaram a pagar o resgate. A distribuição geográfica das suas vítimas é típica do ecossistema de ransomware, com mais de metade baseada nos Estados Unidos.
Segundo apuração do periódico, de fato a MGM Resorts teria se recusado a pagar o resgate de dados depois que foi contactado pelos cibercriminosos. A resistência foi conforme a orientação deixada pelo FBI, que desaconselha o pagamento de extorsão. Tal prática poderia servir para alimentar outros ataques cibernéticos e não representa garantia de retorno dos dados.
Contudo, o WSJ lembrou que, mesmo assim, diversas companhias seguem cedendo à pressão por medo de impactos comprometedores nas operações. Esse foi o caso da concorrente da MGM, o Caesars Palace Entertainment, que viu a necessidade de transferir 30 milhões de dólares aos hackers em favor da integridade de suas atividades.
*Com informações do The Wall Street Journal
