O grupo de ransomware Emperador incluiu a AB InBev em sua lista de vítimas, com a publicação detectada em 25 de outubro às 03h22 no horário UTC. O grupo alega ter 3,9 GB de dados internos da cervejaria e cobra 1 milhão de dólares em bitcoin. Nada disso foi confirmado pela empresa.
A listagem descreve 329.244 alertas de escuta social, 2.510 e-mails corporativos de subsidiárias da companhia, cerca de 19 mil registros de acesso, registros de um portal interno de serviços e certificados da infraestrutura de chaves públicas da empresa. A maior parte do volume, 3,2 GB, é atribuída a ativos de armazenamento no Azure.
O anúncio não explica como o grupo teria obtido esses ativos. Não há indicação de conta de armazenamento exposta, token ou chave vazada, nem de falha de software explorada. Também não há amostra publicada que permita verificar a autenticidade, a origem ou a idade dos registros.
O que daria peso ao caso, se confirmado, não é o volume. Registro de acesso e certificado de infraestrutura interna ajudam a mapear a rede e a preparar movimento lateral. Vale a ressalva de que certificado contém apenas chave pública, e o anúncio não afirma que as chaves privadas correspondentes foram obtidas.
A AB InBev não confirmou, não negou e não comentou o caso. Não há relato de sistema criptografado, de interrupção de operação, de produto afetado nem de número de pessoas atingidas. O rastreador de listas de extorsão estima a data do ataque como 25 de outubro, o que não estabelece quando o acesso teria começado.
Alegação em lista de extorsão é dado de inteligência, não fato consumado. Grupo de ransomware tem incentivo para inflar volume e para incluir vítima com marca conhecida, porque a pressão pública é parte da negociação. A publicação por si só não prova invasão, e a ausência de amostra enfraquece a alegação.
O que mudaria o quadro é objetivo: amostra publicada que resista a verificação, ou manifestação da empresa. Até o fechamento desta edição nenhuma das duas havia ocorrido. Para quem tem integração com a cadeia de fornecimento da companhia, a conduta prudente enquanto isso é tratar o caso como não verificado e acompanhar comunicado oficial.
