Quando a troca de nome não bastou: como a Holanda desmontou um império de bulletproof hosting
Quando a infraestrutura vira problema: o que o caso Stark Industries ensina
Rebater o nome de uma empresa não apaga o que está por trás dela. Em maio de 2026, investigadores holandeses desmantelaram uma operação de hospedagem que tentava se esconder atrás de uma fachada corporativa. O alvo era Stark Industries Solutions Ltd., mas a estrutura física continuava a mesma de sempre.
O caso chama atenção porque mostra até onde vão os criminosos para esconder sua identidade — e como a tecnologia consegue desmascarar essas tentativas com relativa facilidade.
A construção de uma empresa de fachada
A Stark Industries foi registrada em fevereiro de 2022, poucos dias antes da invasão russa à Ucrânia. O objetivo declarado era oferecer um nome neutro para revendedores, de modo que os IPs não fossem associados diretamente à PQ Hosting, outra empresa dos mesmos sócios.
Os irmãos Ivan e Iurie Neculiti, originários da Transnístria, já atuavam nesse mercado desde 2008. Ivan era conhecido em fóruns de cibercrime pelo apelido “dfyz” e vendia o que o setor chama de bulletproof servers: servidores projetados para hospedar conteúdo ilegal com pouca ou nenhuma fiscalização.
Eles não criaram uma infraestrutura nova. Apenas adicionaram uma camada intermediária sobre o que já existia na PQ Hosting, que chegou a atender mais de 120 mil clientes em quase 40 países.
Dois ASNs que entregaram a operação
Em 2025, após sanções da União Europeia, os irmãos transferiram as operações para uma nova empresa holandesa chamada WorkTitans B.V., operando sob a marca THE.Hosting. Parecia uma estratégia inteligente: mudar de nome, de site e de identidade corporativa.
O problema é que a infraestrutura física permaneceu intacta. Pesquisadores conseguiram identificar isso por meio de JA4T fingerprinting, uma técnica que analisa padrões de tráfego e assinaturas de hardware. Os dois ASNs — o antigo da Stark e o novo da WorkTitans — apresentavam as mesmas características técnicas. A mudança foi apenas no papel.
Para quem opera hosting de forma legítima, isso serve de alerta: mudar o nome da empresa não altera a realidade dos servidores. Técnicas modernas de análise de rede conseguem detectar quando a infraestrutura é a mesma.
O que realmente rodava nesses servidores
Os 800 servidores apreendidos não hospedavam sites comuns. Entre os grupos que usavam essa estrutura estavam:
- NoName057(16), responsável por ataques DDoS pró-Rússia
- Sandworm, unidade cibernética do GRU russo
- Callisto Group, também ligada à inteligência russa
- FIN7, grupo especializado em fraudes financeiras
- A campanha Doppelganger, que distribuía desinformação alinhada à Rússia em países europeus
A descoberta do Doppelganger é especialmente relevante. A infraestrutura na Holanda servia como base técnica para uma operação de desinformação patrocinada pelo Estado. Não era apenas hosting criminoso — era suporte direto a uma campanha de guerra informacional.
Um precedente jurídico importante
As prisões e as acusações com base na Lei de Sanções holandesa estabelecem um marco: fornecer infraestrutura para entidades sancionadas agora é tratado como crime, não como zona cinzenta regulatória.
Dois homens foram detidos: um diretor de 57 anos e um responsável técnico de 39 anos. Uma terceira prisão, relacionada à Mirhosting, reforça que as autoridades holandesas consideram a oferta de infraestrutura como participação ativa, não como serviço passivo.
Para o setor legítimo, isso muda o jogo. Due diligence, KYC e verificação de sanções deixam de ser formalidades e passam a ser práticas essenciais de segurança.
Lições para quem opera infraestrutura
O caso Stark Industries deixa três pontos claros para provedores de hosting, registrars e plataformas de cloud:
Conhecimento técnico não substitui conformidade legal. Os irmãos operavam em dezenas de países e entendiam de DNS, alocação de IP e gerenciamento de ASN. Isso não os protegeu contra investigações modernas.
Rebranding sem migração real não funciona. Trocar o nome da empresa ou do registrar não altera o hardware. Análises de rede conseguem identificar quando os servidores são os mesmos, independentemente da identidade corporativa.
A jurisdição está ficando mais rigorosa. A Holanda tem se posicionado contra bulletproof hosting. Quem opera dentro da UE deve esperar maior escrutínio regulatório.
O que isso significa na prática
O caso mostra como diferentes áreas de investigação — crimes financeiros, forense de rede, inteligência de fontes abertas e polícia tradicional — estão convergindo. A operação não foi um golpe de sorte, mas o resultado de um ano de monitoramento após as sanções europeias.
Para o setor legítimo, isso é positivo. Cada prisão de operadores de bulletproof hosting dificulta a vida de quem precisa de infraestrutura para atividades ilegais. Cada servidor apreendido é um a menos disponível para uso malicioso.
No fim, a Stark Industries repetiu o erro de tantas empresas de fachada: achar que mudar o nome resolve o problema. Os servidores guardam registro do que hospedaram, e a forense digital atual não deixa isso passar batido.