Ferramentas de IA aceleram ataques a bancos sul‑coreanos

Vários institutos financeiros sul‑coreanos foram, entre o final de setembro e o início de outubro de 2026, alvo de um ciberataque em que a inteligência artificial acelerou a procura de sistemas vulneráveis. A empresa de segurança CrowdStrike reconstruiu o desenrolar com base em ficheiros e registos de sessões num servidor controlado pelo agressor. The Decoder e o meio especializado taiwanês iThome reportam independentemente a análise. Ambas as fontes salientam que a atribuição deve ser lida com cautela: a CrowdStrike considera provável um agressor de língua chinesa, mas apenas com segurança média e não associa a atividade a nenhum grupo estatal ou criminoso conhecido.

ARTEX automatiza a procura de vulnerabilidades

No centro do incidente está o ARTEX, uma ferramenta de código aberto para testes de penetração. Foi publicada no GitHub em julho de 2026 e desenvolvida na China. O programa combina métodos de teste clássicos com grandes modelos de linguagem. Em vez de analisar manualmente cada endereço de destino e vulnerabilidade potencial, um operador pode automatizar fluxos, avaliar indicações técnicas e preparar passos de ataque. Segundo a CrowdStrike, o ARTEX estava configurado para usar o DeepSeek v4.1-flash como modelo de linguagem principal. Em outros registos de sessão apareceram o GLM-5.3 e o Grok 4.6 como auxiliares.

Os dados encontrados incluem, segundo os investigadores de segurança, ficheiros de configuração do ARTEX, registos do Claude Code e notas de trabalho guardadas. Estes não revelam apenas passos técnicos, mas também que o agressor procurava em grupos do Telegram mercados para dados roubados. Estes vestígios sugerem que a informação apreendida poderia ser explorada economicamente. Contudo, não provam que uma venda tenha efetivamente ocorrido. As fontes ainda não reportaram compradores confirmados nem uma transferência totalmente documentada dos conjuntos de dados.

Pelo menos 25.000 registos numa banca

As informações mais concretas referem‑se ao Shinhan Bank. O jornal coreano Khan informou que mais de 25.000 registos foram vazados. Estes continham nomes, contactos, rendimentos e limites de crédito. Outras bancas também teriam sido afetadas, mas os seus nomes e o número exacto de registos roubados não foram totalmente divulgados nos relatórios disponíveis. Por isso não é possível quantificar com fiabilidade o número total de vítimas nem o potencial prejuízo financeiro. Consequências como roubo de identidade, fraude ou pedidos de crédito indevidos ainda não foram quantificadas.

A supervisão financeira sul‑coreana convocou, após a divulgação dos incidentes, uma reunião de urgência. O presidente Lee Jae‑myung exigiu uma investigação aprofundada. Estas reações demonstram a dimensão política, mas não substituem uma análise forense concluída. Até ao momento não está publicamente comprovado se todas as instituições atacadas apresentavam a mesma vulnerabilidade ou se o ARTEX encontrou diferentes pontos de acesso em cada caso. Também faltam informações sobre quanto tempo os agressores permaneceram indetectáveis nas redes e que medidas de proteção falharam.

A IA altera o ritmo, não as regras de prova

O caso não constitui prova de que um modelo de linguagem, por si só, possa comprometer um banco. Ele demonstra, antes, como um único operador pode combinar ferramentas existentes, modelos abertos e técnicas de ataque tradicionais. A procura automatizada e as sugestões geradas por máquina encurtam o caminho de uma vulnerabilidade conhecida para um ataque funcional. Os passos decisivos continuam a ser ações técnicas do agressor. A atribuição também deve basear‑se em infraestrutura, idioma, padrões temporais e outros indícios. Um modelo utilizado ou uma ferramenta desenvolvida na China não prova, por si só, a origem nem o mandante.

• A CrowdStrike atribui o agressor a um ambiente de língua chinesa apenas com segurança média
• O ARTEX combinou testes de segurança automatizados com vários modelos de linguagem
• No Shinhan Bank, mais de 25.000 registos teriam sido vazados
• Para outras instituições ainda faltam números completos de vítimas e danos
• A venda dos dados roubados não foi confirmada publicamente

Para os bancos, isso implica uma dupla tarefa. Devem fechar vulnerabilidades conhecidas mais rapidamente, pois os agressores podem automatizar cada vez mais a sua procura. Ao mesmo tempo, precisam registar consultas atípicas, novas ferramentas e movimentos de dados de forma a que um incidente possa ser reconstruído de forma fiável mais tarde. Medidas clássicas como segmentação, autenticação multifator, privilégios de acesso mínimos e a monitorização de grandes fluxos de dados não perdem importância com a IA. Pelo contrário: quanto mais rápido um ataque é preparado, mais cruciais se tornam tempos de resposta curtos e caminhos de desativação claramente definidos.

Permanece incerto o quão ampla foi realmente a campanha. A análise da CrowdStrike baseia‑se em material proveniente da infraestrutura do agressor; uma confirmação independente de todos os detalhes por parte das autoridades sul‑coreanas ou por outra empresa de segurança não consta nos relatórios citados. Também não há prova de uma ligação a um Estado ou a um grupo organizado. A conclusão mais fiável, portanto, é mais restrita: ferramentas de ataque baseadas em IA de código aberto foram utilizadas num intrusão real contra instituições financeiras, e pelo menos um banco reportou um fluxo significativo de dados sensíveis de clientes. Tudo o que ultrapassa isso deverá ser esclarecido pela investigação em curso.