Ferramentas de IA aceleram ataques a bancos sul-coreanos

Várias instituições financeiras sul-coreanas foram alvo de um ataque cibernético entre o final de setembro e o início de outubro de 2026, no qual a inteligência artificial acelerou a busca por sistemas vulneráveis. A empresa de segurança CrowdStrike reconstruiu o fluxo de ataque a partir de arquivos e logs de sessão em um servidor controlado pelo invasor. The Decoder e o meio especializado taiwanês iThome relataram independentemente a análise. Ambas as fontes enfatizam que a atribuição deve ser lida com cautela: a CrowdStrike considera provável que o agente fale chinês, mas classifica a certeza como média e não associa a atividade a nenhum grupo estatal ou criminoso conhecido.

ARTEX automatiza a busca por vulnerabilidades

No centro do incidente está o ARTEX, uma ferramenta de código aberto para testes de penetração. Ela foi lançada em julho de 2026 no GitHub e desenvolvida na China. O programa combina métodos de teste tradicionais com grandes modelos de linguagem. Em vez de examinar manualmente cada endereço de destino e vulnerabilidade potencial, um operador pode automatizar fluxos, avaliar dicas técnicas e preparar etapas de ataque. Segundo a CrowdStrike, o ARTEX foi configurado para usar o DeepSeek v4.1‑flash como modelo de linguagem principal. Em outros logs de sessão, apareceram GLM‑5.3 e Grok 4.6 como auxiliares.

Os dados encontrados incluem, segundo os pesquisadores de segurança, arquivos de configuração do ARTEX, logs do Claude Code e notas de trabalho armazenadas. Eles mostram não apenas as etapas técnicas, mas também que o agente buscava em grupos do Telegram mercados para dados roubados. Essas pistas sugerem que as informações capturadas deveriam ser exploradas economicamente. Contudo, não provam que uma venda tenha efetivamente ocorrido. As fontes ainda não relataram compradores confirmados nem uma transferência totalmente documentada dos conjuntos de dados.

Pelo menos 25 000 registros em um banco

Os detalhes mais concretos referem‑se ao Shinhan Bank. O jornal coreano Khan informou que mais de 25 000 registros vazaram desse banco. Eles continham nomes, dados de contato, renda e limites de crédito. Outros bancos também teriam sido afetados, porém seus nomes e o número exato de registros roubados não foram divulgados integralmente nos relatórios disponíveis. Por isso, não é possível quantificar de forma confiável o total de vítimas nem o prejuízo financeiro potencial. Consequências como roubo de identidade, fraudes ou solicitações de crédito indevidas ainda não foram mensuradas.

A supervisão financeira sul-coreana convocou, após a divulgação dos incidentes, uma reunião de urgência. O presidente Lee Jae‑myung exigiu uma investigação abrangente. Essas reações demonstram a importância política, mas não substituem uma análise forense concluída. Até o momento, não há comprovação pública de que todas as instituições atacadas apresentavam a mesma vulnerabilidade ou que o ARTEX encontrou diferentes vetores de acesso em cada caso. Também faltam informações sobre quanto tempo os invasores permaneceram indetectáveis nas redes e quais medidas de proteção falharam.

IA altera o ritmo, não as regras de prova

O caso não comprova que um modelo de linguagem, por si só, possa comprometer um banco. Ele demonstra, antes, como um único operador pode combinar ferramentas existentes, modelos abertos e técnicas de ataque tradicionais. A busca automatizada e as sugestões geradas por máquina encurtam o caminho de uma vulnerabilidade conhecida até um ataque funcional. Os passos decisivos continuam sendo ações técnicas do invasor. A atribuição também deve se basear em infraestrutura, idioma, padrões temporais e outras evidências. O uso de um modelo ou de uma ferramenta desenvolvida na China não prova, por si, origem ou patrocinador.

• A CrowdStrike atribui ao agente apenas uma confiança média de origem chinesa
• O ARTEX combinou testes de segurança automatizados com vários modelos de linguagem
• No Shinhan Bank, mais de 25 000 registros teriam vazado
• Para outras instituições ainda faltam números completos de vítimas e danos
• A venda dos dados roubados não foi confirmada publicamente

Para os bancos, isso implica uma tarefa dupla. Eles precisam corrigir vulnerabilidades conhecidas mais rapidamente, pois os invasores estão automatizando cada vez mais a busca por elas. Ao mesmo tempo, devem registrar consultas incomuns, novas ferramentas e movimentações de dados de modo que um incidente possa ser reconstruído de forma robusta posteriormente. Medidas clássicas como segmentação, autenticação multifator, privilégios mínimos e monitoramento de grandes fluxos de dados não perdem relevância com a IA. Pelo contrário: quanto mais rápido um ataque é preparado, mais críticos se tornam tempos de resposta curtos e caminhos de desligamento bem definidos.

Permanece incerto o quão ampla foi a campanha. A análise da CrowdStrike baseia‑se em material obtido da infraestrutura do invasor; não há confirmação independente de todos os detalhes por autoridades sul‑coreanas ou por outra empresa de segurança nos relatórios citados. Também não há evidência de ligação com um Estado ou grupo organizado. A conclusão mais confiável, portanto, é restrita: ferramentas de ataque abertas, alimentadas por IA, foram empregadas em um roubo real contra instituições financeiras, e ao menos um banco relatou um vazamento significativo de dados sensíveis de clientes. Tudo o que vai além disso deverá ser esclarecido pela investigação em curso.