Os ataques a bancos sul-coreanos investigados pela CrowdStrike ganharam novos contornos após uma reportagem do The Washington Post, que associa a campanha a um alegado atacante de 26 anos localizado na China.
Segundo a investigação, o suspeito terá utilizado agentes de inteligência artificial e vários modelos de linguagem numa operação que visou pelo menos nove instituições financeiras.
O caso mostra como ferramentas de IA concebidas para programação podem ser utilizadas em atividades ofensivas, desde a análise de sistemas até à preparação de código e à organização de dados roubados. A investigação sugere que algumas destas tarefas podem ser executadas por indivíduos sem a experiência técnica habitualmente associada a grupos avançados de cibercrime.
Claude Code e modelos chineses utilizados nos ataques a bancos sul-coreanos
A reportagem do The Washington Post aprofunda uma campanha que a CrowdStrike tinha documentado em outubro. Os investigadores identificaram vestígios de utilização do Claude Code, ferramenta de programação da Anthropic, e de vários modelos de inteligência artificial.
Segundo a análise técnica da CrowdStrike, a infraestrutura examinada continha históricos de sessões de IA, ficheiros de configuração e referências ao ARTEX, um agente associado à automatização de tarefas de programação.
Os registos também apontavam para a utilização de modelos como DeepSeek e GLM. Estas ferramentas terão ajudado o atacante a produzir e modificar código, interpretar resultados e preparar os passos seguintes da operação.
A utilização de diferentes modelos é particularmente relevante porque permite distribuir tarefas entre sistemas com capacidades e restrições distintas. No entanto, a existência destes registos não demonstra que todos os modelos tenham participado diretamente nas intrusões nem que tenham executado ações sem supervisão humana.
Investigação aponta para pelo menos nove bancos
A principal novidade da reportagem está na dimensão atribuída à campanha e no perfil do alegado responsável.
O Washington Post refere que pelo menos nove bancos sul-coreanos terão sido afetados. Este número amplia o alcance descrito na investigação técnica inicial, mas deve ser interpretado com prudência. A CrowdStrike não confirmou de forma independente o número total de instituições comprometidas nem a dimensão dos dados eventualmente roubados.
Outro elemento relevante é a forma como os investigadores terão conseguido relacionar diferentes atividades com o mesmo suspeito.
Durante a análise dos registos de utilização da IA, foram encontrados dados biográficos associados a um pedido de criação de currículo. A informação forneceu pistas sobre a identidade e o percurso do alegado atacante, que terá cometido um erro de segurança operacional ao utilizar as mesmas ferramentas para atividades pessoais e para a campanha.
Estes indícios ajudam a estabelecer ligações entre as operações analisadas, mas não constituem, por si só, uma identificação definitiva do responsável.
Agentes de IA reduzem algumas barreiras técnicas
O caso ilustra uma mudança na utilização da inteligência artificial em operações de cibercrime.
Os agentes de programação podem executar sequências de tarefas, analisar mensagens de erro, propor alterações ao código e adaptar procedimentos de acordo com os resultados obtidos. Isto permite automatizar etapas que anteriormente exigiam intervenção manual e conhecimentos especializados.
A consequência não é necessariamente a substituição do atacante humano. É a possibilidade de uma única pessoa coordenar mais tarefas e recorrer à IA para resolver dificuldades técnicas durante uma operação.
Esta distinção é importante. Os elementos divulgados não demonstram que os modelos tenham escolhido autonomamente os alvos ou conduzido toda a campanha sem instruções humanas.
A investigação também não permite concluir que qualquer utilizador sem experiência consiga reproduzir operações desta natureza. A eficácia depende das ferramentas disponíveis, das vulnerabilidades dos sistemas visados e da capacidade do operador para interpretar e aproveitar os resultados.
O caso também tem antecedentes na cobertura do TecheNet. Em outubro, noticiámos a identificação de ferramentas de IA nos ataques a bancos sul-coreanos e a posterior retirada do ARTEX do GitHub pelo seu criador.
A nova reportagem acrescenta contexto sobre o perfil do suspeito e o alcance da campanha, mas mantém questões por esclarecer. A identidade do atacante, o número exato de instituições comprometidas e a dimensão dos dados roubados continuam sem confirmação independente.
Outros artigos interessantes:
