A onda de ciberataques com IA que está abalando o setor financeiro da Coreia do Sul
Em pouco mais de um mês, a Coreia do Sul testemunhou o que especialistas chamam de um dos ataques cibernéticos mais coordenados e tecnologicamente sofisticados já dirigidos ao setor financeiro do país. A nova vaga, que atingiu corretoras, gestores de ativos e exchanges de criptomoedas, amplia um padrão que começou em setembro com bancos comerciais e se espalhou como uma mancha de óleo por toda a cadeia de serviços financeiros do país.
O que torna esses ataques particularmente preocupante não é apenas o volume — cerca de 100.000 registros de dados pessoais confirmados como comprometidos até agora —, mas o método. A evidência apontou para o uso de ARTEX, uma ferramenta de teste de penetração agêntica (agentic penetration testing) de código aberto desenvolvida na China, combinada com modelos de linguagem grandes (LLMs) como Claude, DeepSeek e Grok. O resultado: um hacker sozinho, operando aparentemente a partir da China, capaz de invadir múltiplas instituições financeiras em um período extremamente curto.
A expansão do ataque
A nova onda de ataques, confirmada em 28 de outubro, atingiu a corretora Daishin Securities, que reportou a exposição de dados pessoais e financeiros de 38.490 clientes, incluindo nomes, endereços de e-mail e números de celular. A Mirae Asset Global Investments e a exchange de criptomoedas Bithumb também confirmaram intrusões, embora nenhuma tenha admitido a perda de dados de clientes.
A onda original de setembro havia afetado 16 instituições financeiras, incluindo bancos comerciais Shinhan, KB Kookmin e Hana Bank, além de cooperativas de poupança, empresas de capital, instituições financeiras mútuas, provedores de serviços financeiros eletrônicos e prestadores de serviço de ativos virtuais. Os sistemas comprometidos não eram os sistemas nucleares de depósito e transferência dos bancos, mas sim serviços auxiliares — um sistema de consulta para corretores de empréstimos, um sistema de apoio às vendas para funcionários, uma página externa de mútuo.
O banco BNK Busan Bank reportou que atacantes bypassaram a autenticação padrão em um serviço de consulta de empréstimos, expondo informações financeiras de aproximadamente 25.000 pessoas. A Hana Bank viu 89 registros de clientes expostos em seu sistema de apoio às vendas, separado da internet e do mobile banking. A Shinhan Bank confirmou a violação em um serviço utilizado por agentes de empréstimo para verificar o status de solicitações.
A Financial Supervisory Service (FSS) despachou inspetores às empresas afetadas e está realizando verificações de segurança em dezenas de sistemas de TI do setor privado. O governador da FSS, Lee Chan-jin, convocou os presidentes das oito principais instituições bancárias para reforçar as defesas cibernéticas.
O papel do ARTEX
O ARTEX é uma ferramenta de teste de penetração agêntica desenvolvida na China, que usa agentes de IA autônomos para automatizar a descoberta de vulnerabilidades e a exploração de sistemas. Quando o projeto foi descoberto em uso real contra instituições financeiras, seu desenvolvedor tornou-o fechado e descontinuou atualizações — mas a versão já disponível criou derivativos em inglês e coreano que continuam circulando.
Segundo a CrowdStrike, que investigou o caso, o atacante conectou o ARTEX a vários LLMs, incluindo DeepSeek v4.1-flash como backend primário, GLM-5.3 (da Zhipu AI) e Grok 4.6 para sessões adicionais. O atacante acessou o DeepSeek provavelmente através do proxy API xcai.pro, um revendedor de LLMs chinês.
A infraestrutura do atacante foi analisada: o IP 38.246.50.120 hospedava uma instância do ARTEX e um diretório aberto contendo históricos de sessões Claude Code, arquivos de configuração do ARTEX e arquivos de memória do Claude. Um documento markdown em chinês especificava como o LLM deveria conduzir atividades de pentest. O atacante usou o próprio Claude para criar um currículo de pesquisador de segurança com pontos sobre os resultados das atividades de ARTEX — incluindo nome fictício "YY", telefone chinês e handle do Telegram.
A análise da AhnLab (ASEC) confirmou que os ataques não miraram os sistemas nucleares de processamento de depósitos e transferências, mas sim serviços conectados a serviços principais: lookup para corretores de empréstimos, sistemas internos de apoio às vendas, páginas web externas. A mesma análise apontou que o mesmo padrão de ataques — explorando sistemas auxiliares conectados à internet — foi observado em outros países, incluindo Japão, Estados Unidos, Europa e América do Sul, em ataques de grande escala usando agentes de IA.
Por que isso importa
Os ataques à Coreia do Sul representam um ponto de inflexão na evolução do cibercrime. Pela primeira vez, temos evidência concreta de um hacker individual usando ferramentas de IA agêntica para conduzir uma campanha de intrusões multi-institucional contra o setor financeiro de um país desenvolvido.
A AhnLab alertou que o ataque não ficou restrito ao setor financeiro: também afetou provedores de software contábil corporativo, uma grande igreja, universidades, serviços de e-book, provedores de cloud e uma empresa de franquias. No Japão, a GMO Cybersecurity identificou evidências do mesmo ARTEX sendo usado em ataques a empresas japonesas, com oito organizações reportando vazamentos em setembro e outubro.
A questão fundamental que emerge é simples: quando a barreira técnica para conduzir ataques sofisticados cai para o nível de configurar um LLM via API e conectar uma ferramenta como ARTEX, quantos sistemas ainda podem ser considerados seguros? O atacante que operou contra o setor financeiro coreano não precisava de conhecimento de engenharia reversa ou exploits zero-day — precisava de acesso a modelos de IA e paciência.
O que o futuro do cibercrime vai parecer quando cada atacante tiver à disposição o poder de análise, automação e adaptação que o ARTEX ofereceu — mesmo em sua versão já descontinuada?
Fontes: TechCrunch, AhnLab ASEC, CrowdStrike, BleepingComputer
✓ Fontes independentes cruzadas e verificadas antes da publicação
