A onda que se alastra

A indústria financeira sul-coreana enfrenta sua terceira semana de ataques cibernéticos consecutivos, com a revelação nesta quarta-feira (28) de novas violações em três grandes instituições: a corretora Daishin Securities, a exchange de criptomoedas Bithumb e a gestora de ativos Mirae Asset Global Investments. O número de empresas afetadas chega a 20, segundo autoridades regulatórias, englobando bancos tradicionais, poupanças, plataformas de cripto e seguradoras — praticamente todos os segmentos do setor, exceto empresas de cartão de crédito.

A Daishin foi a mais direta em seus impactos: a empresa confirmou que informações pessoais e financeiras de 38.490 clientes foram comprometidas após hackers acessarem um servidor vinculado ao serviço de abertura de contas online para serviços de investimento discrecional. O vazamento inclui nomes, endereços de e-mail, endereços residenciais, IDs de login, nomes dos bancos, números de contas de depósito e saque, números de contas Daishin e números de telefone celular — embora os números de conta e telefone estejam criptografados. A corretora detectou acesso suspeito em 17 de outubro e analisou mais de 60.000 requisições que se disfarçavam como tráfego legítimo de serviço ao longo de dez dias.

A Bithumb reportou acesso não autorizado ao seu sistema interno de groupware móvel, operado pela plataforma terceirizada Daou Office. A exchange informou que os ativos dos clientes não foram afetados, pois o sistema comprometido não é utilizado pelos clientes e está fisicamente separado da rede de negociação. Já a Mirae Asset Global Investments confirmou o acesso não autorizado a alguns de seus sistemas web, mas afirmou que não foram comprometidos dados de identificação pessoal únicos nem informações sensíveis.

Mas o que chama a atenção não são apenas os números — é o método. A segunda onda de ataques, que se espalhou de bancos e poupanças para corretoras, exchanges e seguradoras, apresenta um padrão distinto: a primeira onda (setembro) foi ligada à CrowdStrike a um ator suspeito chinês que utilizava ARTEX, uma ferramenta open-source de penetration testing agêntica desenvolvida na China. A nova onda, entretanto, está sob investigação.

O rastro do ARTEX

A análise da CrowdStrike revelou detalhes impressionantes sobre a primeira onda de ataques, que afetou bancos como Shinhan, KB Kookmin, BNK Busan e Hana. O ataque explorou um serviço de consulta de progresso de empréstimos usado por corretores e comprometeu um sistema de suporte ao trabalho móvel para funcionários.

O que a CrowdStrike encontrou em servidores controlados pelo atacante foi um arsenal de ferramentas de IA generativa: históricos de sessão do Claude Code, arquivos de configuração do ARTEX, e arquivos de memória do Claude. O prompt encontrado era um documento em chinês que especificava como o LLM deveria conduzir atividades de pentest — literalmente instruções para que o modelo de IA atuasse como um tester de penetração humano.

O ataque usou múltiplos endereços IP proxy e uma instância hospedada em 38.244.50[.]120, contendo o documento .claude/CLAUDE.md com instruções em chinês para conduzir atividades de pentest. A infraestrutura incluía também um IP de Hong Kong com diretórios abertos contendo sessões completas de pentest.

Segundo a CrowdStrike, o ator é provavelmente falante de chinês e motivado financeiramente. A empresa classificou a atividade sob o MITRE ATT&CK como T1588.007 — Obtain Capabilities: Artificial Intelligence.

"Esta atividade demonstra como ferramentas de IA podem habilitar um ator motivado financeiramente a realizar múltiplas intrusões em um espaço de tempo curto", diz o relatório da CrowdStrike. "Avaliamos que adversários continuarão a experimentar com a implementação de ferramentas de IA em suas operações para aumentar o ritmo operacional e as capacidades."

Escaneamento de 4,4 milhões de tentativas

Um dado que merece destaque: em 21 de outubro, reguladores detectaram 4,4 milhões de tentativas de scanning a partir de 3h da manhã, com endereços IP classificados como norte-coreanos. O scanning — a busca por portas abertas e vulnerabilidades em servidores-alvo — durou aproximadamente um dia inteiro antes de cessar.

Porém, autoridades financeiras advertem contra a leitura simplista de que a Coreia do Norte estaria por trás dos ataques. Segundo a análise de pacotes reais, os pacotes provenientes de IPs norte-coreanos continham apenas a "resposta à requisição" — o segundo estágio — e não a requisição inicial de conexão. Isso sugere que um terceiro-party forjou os endereços IP das empresas financeiras como origem para solicitar conexão com a Coreia do Norte, fazendo com que a resposta da Coreia do Norte fosse roteada de volta às empresas financeiras.

"Endereços IP sozinhos não podem estabelecer a nacionalidade ou afiliação de um atacante, porque informações de endereço podem ser manipuladas e o tráfego roteado por outras localizações", disse um oficial do Financial Security Institute (FSI).

Esse padrão de spoofing sofisticado é consistente com um atacante experiente que usa técnicas de evasão para dificultar o rastreamento, não com um grupo estatal norte-coreano operando de forma direta.

O lado oposto da moeda

A KB Kookmin Bank ilustra bem a falha sistêmica: o ataque começou à 00h19 de 27 de setembro, mas foi classificado como "tráfego anômalo rotineiro". A resposta foi apenas bloquear o endereço IP. O banco enfrentou novos ataques posteriormente, e o número de registros comprometidos saltou de 119 para 2.210 — 18,6 vezes mais.

A Shinhan Bank levou 15 horas e 26 minutos para detectar um ataque que começou às 18h04 de 28 de setembro. O resultado: 25.727 registros com informações pessoais vazados.

"Classificamos atividade de ataque como tráfego anômalo rotineiro e respondemos apenas bloqueando o IP" — essa é, talvez, a frase mais assustadora sobre segurança cibernética que se pode ler em 2026.

O que isso significa

A onda de ataques à Coreia do Sul não existe isolada. No Japão, a GMO Internet reportou um incidente de segurança envolvendo dados de clientes roubados. Em 123 Reg (Europa), o mesmo modus operandi foi suscitado: o mesmo grupo suspeito do ataque à Coreia do Sul também estaria por trás da invasão.

O que estamos vendo é a democratização do cibercrime de alta complexidade. Ferramentas de pentest que eram exclusividade de equipes de segurança profissionais — ou de adversários estatais — agora estão disponíveis em código aberto, com prompts em chinês que transformam LLMs como o Claude em agentes de ataque autônomos.

A pergunta que fica não é "quem está por trás" — porque o IP spoofing mostra que até isso pode ser uma distração — mas sim: quantas outras indústrias financeiras em outros mercados emergentes já foram atacadas sem que os investigadores tenham percebido a assinatura de IA?

E mais importante: se um atacante precisa apenas de um prompt em chinês e acesso ao Claude Code para comprometer 20 instituições financeiras em semanas, qual é a barreira para que o próximo ator faça o mesmo em outro continente?

A IA não criou o cibercrime. Mas ela acabou com a escassez de expertise que antes era o maior obstáculo para operações de hacking sofisticadas. O ARTEX não é a arma — é o catalisador que transforma qualquer ator motivado financeiramente em uma ameaça capaz de operar em escala global.

Isso muda tudo. Não é mais sobre ter a melhor defesa; é sobre sobreviver à primeira onda antes que a segunda venha.

Não é mais sobre prevenir — é sobre detectar mais rápido.

E no momento em que a IA consegue fazer mais intrusões em semanas do que um grupo de hackers faria em anos, a pergunta que fica não é "quem está por trás" — mas sim: quem vai detectar o próximo ataque antes que os dados vazem?

Porque o próximo não será em Seul. Será em qualquer lugar. E quem sabe, quem sabe, já estará em andamento.

A escassez de expertise em cibersegurança ofensiva acabou. O que resta é a escassez de detecção em tempo real. E essa é uma diferença que muda tudo.

Fontes: TechCrunch, The Korea Herald, CrowdStrike, The Register

✓ Fontes independentes cruzadas e verificadas antes da publicação