Cibercriminoso usa inteligência artificial para invadir 90 organizações na Coreia do Sul
Um homem de 32 anos foi preso na Coreia do Sul sob suspeita de liderar uma sequência de ataques digitais contra aproximadamente 90 empresas e instituições. De acordo com a Polícia Metropolitana de Seul, as invasões resultaram no roubo de cerca de 8,2 milhões de registros pessoais e documentos internos. Em boa parte dos casos, o responsável teria recorrido a ferramentas de inteligência artificial generativa.
Segundo os investigadores, 60 das organizações atingidas foram atacadas com auxílio de IA. A ferramenta utilizada recebia informações sobre o alvo e, a partir delas, identificava etapas para realizar a invasão. Esse tipo de automação pode reduzir o conhecimento técnico necessário para conduzir ataques e ampliar a capacidade de uma única pessoa de atingir muitas vítimas.
O suspeito, identificado apenas como A, não tinha formação na área de tecnologia. Ele teria aprendido técnicas de invasão por meio de materiais disponíveis na internet. Entre 2019 e 2022, trabalhou com testes de intrusão em uma empresa de segurança, atividade voltada a encontrar falhas em sistemas antes que criminosos possam explorá-las. Outros seis suspeitos são investigados, mas respondem em liberdade.
Relatos sobre o caso apontaram o ARTEX como a ferramenta empregada. Trata-se de um framework de testes de intrusão que incorpora inteligência artificial e que também foi associado a ataques contra instituições financeiras sul-coreanas. A utilização do mesmo programa, porém, não comprova que as campanhas tenham sido realizadas pelos mesmos responsáveis.
Entre os alvos identificados estão hospitais, universidades, cursos preparatórios, campos de golfe e subsidiárias de grandes empresas. Após obter os dados, o grupo teria exigido dinheiro de 38 organizações. As cobranças somaram 360 milhões de won em Tether, uma criptomoeda, com a ameaça de divulgar os arquivos roubados. A exposição poderia causar danos à reputação das vítimas e até resultar em multas. A polícia apurou que 300 mil won chegaram a ser pagos.
As invasões teriam ocorrido entre setembro de 2025 e outubro de 2026. O uso mais amplo de inteligência artificial generativa começou no fim de agosto de 2026. A investigação foi iniciada em junho, depois que uma das empresas afetadas apresentou uma denúncia. Para identificar o suspeito, os agentes analisaram registros armazenados nos servidores das vítimas. A prisão ocorreu em 15 de outubro.
O homem foi encaminhado sob custódia ao Ministério Público. Ele é investigado por violações à legislação sul-coreana sobre redes de informação e comunicação, além de extorsão consumada e tentada. A polícia classificou o episódio como o primeiro ataque de grande escala no país com uso de IA generativa. Parte dos dados roubados foi recuperada, e os investigadores também apuram se cópias foram publicadas na dark web. O total de organizações afetadas pode aumentar à medida que a apuração avançar.
Como a inteligência artificial pode ampliar ataques digitais
Ferramentas de IA podem ajudar criminosos a automatizar tarefas que antes exigiam várias etapas manuais. Um programa pode, por exemplo, organizar informações sobre um alvo, sugerir caminhos para localizar falhas e acelerar a preparação de um ataque. Isso não significa que a inteligência artificial consiga invadir qualquer sistema sem limites: o resultado depende dos acessos disponíveis, das vulnerabilidades encontradas e das barreiras de segurança existentes.
O risco está na escala. Quando etapas repetitivas são automatizadas, um invasor pode testar mais alvos em menos tempo. Organizações menores, que nem sempre contam com equipes dedicadas à segurança digital, podem ficar particularmente expostas se mantiverem sistemas desatualizados ou credenciais fáceis de adivinhar.
Medidas para reduzir o risco de invasões
Manter sistemas operacionais, aplicações e dispositivos de rede atualizados é uma das formas mais diretas de reduzir a exposição a falhas conhecidas. Também é importante limitar os acessos de cada usuário ao necessário para seu trabalho e exigir autenticação multifator, especialmente em contas administrativas, serviços de e-mail e sistemas que armazenam dados pessoais.
Empresas podem complementar essas medidas com monitoramento de acessos, cópias de segurança protegidas e testes regulares de segurança. Um plano de resposta a incidentes também ajuda a definir quem deve agir, como interromper acessos indevidos e de que forma preservar evidências caso uma invasão seja identificada.
A reação rápida é essencial quando há suspeita de roubo de dados. As organizações devem investigar a origem do acesso, bloquear credenciais comprometidas, verificar se os arquivos foram copiados e avaliar as obrigações de comunicação aplicáveis. A recuperação de parte dos materiais, como ocorreu na investigação sul-coreana, não elimina a necessidade de apurar se outras cópias continuam circulando.