Entre o final de setembro e o início de outubro de 2026, uma campanha de hackers utilizou ferramentas de inteligência artificial para invadir sete instituições financeiras na Coreia do Sul, resultando no roubo de dados de aproximadamente 67 mil indivíduos e 2.200 empresas. As informações expostas incluem nomes, cargos, detalhes de renda e dados sobre empréstimos, conforme relatado pela Cybersecuritynews.
A investigação da CrowdStrike, divulgada em 7 de outubro, identificou que um operador, possivelmente um indivíduo de língua chinesa e motivado financeiramente, utilizou o ARTEX, um framework de penetração de código aberto, para realizar os ataques. O operador deixou servidores expostos ao público, permitindo que pesquisadores analisassem os modelos de IA, scripts e proxies utilizados na operação, conforme detalhado pela Gbhackers.
Os dados recuperados revelaram que o servidor principal identificado tinha o IP 38.244.50[.]120, que foi associado a um domínio de revenda chamado xcai[.]pro, utilizado para acessar modelos de IA. A investigação da Hunt.io também encontrou um diretório aberto em um servidor em Hong Kong, que continha uma quantidade significativa de arquivos de trabalho do operador, incluindo um arquivo de estado que mostrava que o Claude Code, uma ferramenta de IA, foi executado 510 vezes desde agosto de 2026.
O uso do Claude Code não se conectou diretamente a modelos da Anthropic, mas sim a um roteador chamado Claude Code Router, que, junto com scripts auxiliares em Python, redirecionava as solicitações através do domínio xcai[.]pro para o DeepSeek, outro modelo de IA. Essa combinação de ferramentas foi observada em outros casos, indicando uma metodologia de ataque bem estruturada.
Além disso, o operador configurou 19 “habilidades” personalizadas, que são conjuntos de instruções reutilizáveis para a IA, utilizadas em 147 ocasiões. Essas habilidades incluíam atividades como reconhecimento, revisão de código, testes de segurança em aplicativos e análise de lógica de pagamentos, sugerindo que o atacante estava buscando falhas de segurança em sistemas de depósito.
Os arquivos expostos também continham scripts relacionados a operações de criptomoedas, exploits para escalonamento de privilégios em Linux e ferramentas para iOS e Android. No entanto, a relação entre esses itens e os ataques a bancos ainda não foi confirmada. A Hunt.io identificou 79 endereços IP de saída únicos, o que demonstra a complexidade da infraestrutura utilizada pelo atacante.
As descobertas levantam preocupações sobre a segurança das instituições financeiras, especialmente com a crescente utilização de ferramentas de IA em ataques cibernéticos. A exposição de dados sensíveis e a utilização de tecnologias avançadas para realizar intrusões destacam a necessidade de medidas de segurança mais robustas.
O cenário continua a evoluir, com a Hunt.io buscando mais servidores ARTEX através de diversas técnicas de pesquisa. A situação ressalta a importância de monitorar e proteger as infraestruturas digitais contra ameaças emergentes, especialmente aquelas que utilizam inteligência artificial como parte de suas táticas de ataque.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews