Startup de Cibersegurança Ofensiva Liderada por Condenados e Teóricos da Conspiração

Uma startup de cibersegurança que oferece milhões de dólares pela aquisição de vulnerabilidades de segurança 'zero-day' em softwares populares é administrada por um par de teóricos da conspiração de extrema-direita e criminosos condenados, cujas empreitadas mais recentes incluíram empresas de inteligência falsas e uma plataforma de lobby baseada em IA, agora extinta, que operavam sob nomes falsos.

A conta X/Twitter IRIS C2 (@C2IRIS) conquistou mais de 4.000 seguidores desde sua criação em janeiro de 2025, postando frequentemente sobre vulnerabilidades de segurança, IA e exploits de software. A IRIS C2 afirma ser uma empresa em McLean, Virgínia, que vende capacidades de cibersegurança ofensiva. O site da IRIS C2 acena com a possibilidade de pagamentos de milhões de dólares por exploits para atrair talentos.

"Nosso modelo de negócios é este", diz uma postagem fixada no topo da conta IRIS C2 no X. "Atrair os melhores pesquisadores de vulnerabilidades e desenvolvedores de exploits do mundo para se juntarem à nossa empresa. Isso gira principalmente em torno de engenheiros juniores com talento bruto/QI extremamente alto. Não nos importamos se eles têm diploma universitário/experiência na indústria". O site vinculado nesse perfil — irisc2[.]com — afirma que a empresa está contratando para várias vagas abertas, e uma postagem recente em sua página do LinkedIn se entusiasma com um número avassalador de candidaturas de potenciais funcionários. O site afirma que a IRIS C2 está no negócio de aquisição de "exploits zero-day, primitivas individuais, cadeias parciais e capacidades completas em todas as principais plataformas. Os pagamentos variam de US$ 10.000 a US$ 7 milhões, dependendo do alvo, confiabilidade e valor operacional".

O portal de contratação governamental g2exchange.com relata que irisc2[.]com é operado por uma empresa sediada na Virgínia chamada Calvexa Group LLC. O link "contato" no site da Calvexa Group — calvexagroup[.]com — redireciona os visitantes para irisc2[.]com. O G2Exchange mostra que, embora a Calvexa Group LLC esteja registrada como contratada federal, ela não parece estar trabalhando em nenhum contrato governamental direto.

Uma pesquisa no endereço de Arlington, Virgínia, listado nos registros de incorporação da Calvexa Group LLC, revela que a propriedade é ocupada por Jack Burkman, o fundador e sócio-gerente de 60 anos da firma de lobby Burkman & Associates. Ao ser questionado sobre a IRIS C2, Burkman encaminhou mais perguntas para seu associado de longa data, Jacob Wohl, de 28 anos.

Burkman e Wohl têm um histórico notório de criação de empresas de inteligência falsas e de usá-las para espalhar alegações falsas e incriminar figuras públicas, incluindo alegações fabricadas de agressão sexual contra o então diretor do FBI Robert Mueller e Pete Buttigieg, então prefeito de South Bend, Indiana, e candidato democrata à presidência. Em 2019, Burkman e Wohl realizaram coletivas de imprensa alegando falsamente casos extraconjugais da Senadora Elizabeth Warren (D-Mass.) e da então candidata presidencial em 2020, Kamala Harris.

Após a eleição presidencial de 2020, Wohl e Burkman foram processados por vários estados dos EUA por fazerem milhares de ligações automáticas para residentes de estados decisivos e disseminarem alegações falsas sobre votos por correio. Eles foram indiciados em Cleveland por 15 acusações de crimes graves de orquestrar um esquema de ligações automáticas com o objetivo de suprimir o voto negro em Detroit, e foram sentenciados no final de 2025 à liberdade condicional após suas apelações para arquivar as acusações serem rejeitadas.

Em 2022, Wohl e Burkman se declararam culpados de uma única acusação de crime de fraude em telecomunicações em Ohio, e foram sentenciados a uma multa, liberdade condicional e serviço comunitário. Em março de 2023, um juiz em um caso civil de Nova York decidiu que Wohl e Burkman violaram leis federais e estaduais de direitos civis, e os dois concordaram em pagar uma indenização de US$ 1 milhão.

Em junho de 2023, a Federal Communications Commission (FCC) impôs uma multa de US$ 5,1 milhões contra Wohl e Burkman por suas campanhas de ligações automáticas, na época a maior multa já buscada pela FCC sob o Telephone Consumer Protection Act.

Aos 17 anos, Wohl já havia fundado várias empresas de investimento e cultivado o apelido de "Wohl de Wall Street" após aparecer na Fox News em 2015 para discutir seus novos fundos de hedge. Em 2017, a Arizona Corporation Commission acusou Wohl e seus fundos de investimento de 14 acusações de fraude de valores mobiliários, e o ordenou a pagar US$ 35.000 em restituição. Em 2019, Wohl se declarou culpado na Califórnia de quatro acusações de crimes graves de venda de valores mobiliários não registrados e foi sentenciado a dois anos de liberdade condicional.

O mercado de vulnerabilidades de segurança anteriormente desconhecidas sempre foi povoado por uma mistura colorida de pesquisadores, acadêmicos, charlatães, caçadores de prestígio e pessoas ativamente envolvidas em comunidades de cibercrime. Mas o mercado de venda de serviços de segurança ofensiva para o governo dos EUA tende a ser muito mais circunspecto. Muitos contratados do governo recrutam pesquisadores de vulnerabilidades e pagam pelos direitos exclusivos de exploits de software inovadores, no entanto, nenhum deles o faz de forma tão descarada e aberta quanto a IRIS C2.

De fato, KrebsOnSecurity não tinha conhecimento da IRIS C2 até o mês passado, quando um participante de uma conferência regional de cibersegurança compartilhou que Wohl e a Calvexa Group estavam importunando pessoas na conferência sobre a venda de suas pesquisas de vulnerabilidades.

Em uma entrevista com KrebsOnSecurity, Wohl disse que o Sr. Burkman não estava envolvido nas operações diárias da IRIS C2. Wohl compartilhou que a IRIS C2 originalmente começou como uma empresa de testes de penetração, mas mudou seu foco recentemente para a venda de serviços de hacking de telefone para o governo. Várias vezes durante a entrevista, o Sr. Wohl mencionou trabalhar em contratos do governo federal, mas quando pressionado por detalhes, disse que não estava em posição de falar publicamente sobre eles.

O Sr. Wohl disse que não possui nenhuma formação ou treinamento formal em ciência da computação ou segurança da informação, e que a maior parte de seu conhecimento sobre o assunto é autodidata. "Eu sei mais sobre tecnologia do que qualquer um", gabou-se Wohl. "Meu histórico sempre foi extremamente técnico, e eu sempre estive profundamente envolvido com tecnologia. As pessoas me conhecem como alguém capaz de criar capacidades espetacularmente requintadas que fariam sua cabeça girar".

Wohl disse que os pesquisadores de segurança trazem para a empresa descobertas únicas de vulnerabilidades "regularmente", mas que em muitos casos essas descobertas são preliminares e não totalmente desenvolvidas. "Digamos que alguém encontre uma falha em um decodificador de mídia em um telefone", disse Wohl. "Muitas vezes, o que recebemos é uma primitiva de exploit, onde a ideia existe, mas a [execução] precisa de trabalho. Você precisa que esse exploit seja estável e confiável, e é isso que fazemos".

Wohl afirma que a IRIS C2 tem aproximadamente 40 funcionários, embora tenha dito que nenhum deles tem permissão para listar seu emprego no LinkedIn por motivos de segurança operacional. Em maio, o autor da conta IRIS C2 no X disse que sua namorada não tinha ideia do que ele fazia para viver. Mas se a IRIS C2 tiver outros funcionários, eles podem estar igualmente alheios às fabricações explícitas do Sr. Wohl — ou até mesmo ao seu nome real.

Em setembro de 2024, o Politico relatou que Berkman e Wohl estavam se gabando de grandes empresas supostamente comprando serviços de sua agora extinta empresa LobbyMatic, que afirmava usar inteligência artificial para auxiliar em esforços de lobby político. No entanto, o Politico descobriu que a dupla administrava a empresa usando pseudônimos, com Wohl supostamente adotando o nome "Jay Klein" e Burkman usando o apelido "Bill Sanders". O Politico relatou que dois dos ex-funcionários da LobbyMatic renunciaram após descobrirem suas verdadeiras identidades, enquanto outros funcionários só souberam depois de deixarem a empresa.