Em um relatório publicado na quarta-feira, a CrowdStrike afirmou acreditar que o suspeito estava provavelmente na província de Guangdong, na China.
A empresa chegou a essa conclusão após identificar detalhes pessoais ligados ao suposto invasor durante a análise de sessões de ferramentas de programação baseadas em IA e da infraestrutura utilizada na campanha.
Pelo menos nove bancos sul-coreanos divulgaram ou foram citados pela imprensa local como alvos de ataques cibernéticos desde o fim de setembro. O caso levou a polícia sul-coreana a iniciar uma investigação nesta semana e o presidente Lee Jae Myung a pedir medidas de resposta mais rigorosas.
Adam Meyers, vice-presidente sênior de operações de contra-adversários da CrowdStrike, disse a jornalistas em uma teleconferência na quinta-feira (7) que o caso é um exemplo de um criminoso utilizando agentes de IA para realizar ataques em larga escala.
“Isso é significativo porque permite que uma única pessoa alcance muitos alvos em um período muito curto, usando o poder da IA”, disse.
O caso deve aumentar as preocupações sobre a segurança dos sistemas com o avanço dos agentes de IA e sobre a capacidade das organizações de se protegerem contra esse tipo de ameaça.
O Shinhan Bank informou na semana passada que os dados pessoais de cerca de 25 mil clientes foram comprometidos. Já o KB Kookmin Bank afirmou que informações de 119 clientes foram vazadas.
Esses incidentes também estão levando as seguradoras cibernéticas a revisar suas apólices. Entre as questões em discussão estão se sistemas autônomos de IA se enquadram nas definições tradicionais de cibercriminosos e quem deve ser responsabilizado por ações geradas por esses sistemas que provoquem prejuízos.
Agente que fala chinês
A CrowdStrike afirmou que o invasor usou o ARTEX, uma ferramenta de código aberto para testes de segurança desenvolvida na China e lançada recentemente, em conjunto com grandes modelos de linguagem, como o Claude, da Anthropic.
“Embora essa atividade não tenha sido atribuída a um adversário específico, o agente da ameaça provavelmente fala chinês e tem motivação financeira”, diz o relatório.
“Essa avaliação foi feita com um nível moderado de confiança, com base no uso da ferramenta ARTEX, desenvolvida na China, e na observação de instruções em língua chinesa.”
Segundo a CrowdStrike, o indivíduo também perguntou ao Claude onde criminosos costumam vender informações obtidas em vazamentos de dados de empresas e instituições sul-coreanas. Ele ainda pediu ajuda para encontrar grupos coreanos que comercializam dados pelo Telegram.
Em outra sessão, o suspeito pediu ao Claude que criasse um currículo de pesquisador de segurança.
O documento incluía informações como uma conta no Telegram, idade, formação acadêmica e uma localização em Maoming, cidade da província de Guangdong, no sul da China. Segundo a CrowdStrike, esses dados provavelmente pertenciam ao invasor.
Um homem que atendeu ao número de telefone divulgado pela CrowdStrike no relatório disse não ter conhecimento do caso.
O porta-voz do Ministério das Relações Exteriores da China, Mao Ning, afirmou em uma coletiva de imprensa regular que o ministério não estava familiarizado com o caso. Segundo ele, a China se opõe e combate, por princípio, atividades de hackers.
A polícia antropológica e a polícia sul-coreana não responderam aos pedidos de comentário.
- 🔍 O ARTEX é um agente de IA de código aberto voltado para testes automatizados de segurança. A ferramenta foi publicada neste ano no GitHub por um engenheiro de segurança chinês que usa o pseudônimo Autumn.
A ferramenta não é um modelo de linguagem independente. Ela se integra a modelos externos, como ChatGPT, Claude e DeepSeek, e auxilia organizações a identificar vulnerabilidades em suas redes.
A página do ARTEX no GitHub afirma que a ferramenta foi desenvolvida para aprendizado pessoal, pesquisa de código e verificações técnicas locais. O projeto também diz que ela não deve ser utilizada para realizar testes em sistemas ou sites reais disponíveis na internet.
Pelo menos nove bancos sul-coreanos divulgaram ou foram citados pela imprensa local como alvos de ataques cibernéticos desde o fim de setembro. — Foto: Kevin Horvart/Unplash
