A partir do final de setembro, várias empresas financeiras sul-coreanas descobriram que alguém havia invadido seus sistemas. Até 7 de outubro, o Shinhan Bank informou que cerca de 25.000 clientes foram afetados, com nomes, números de telefone, renda anual e limites de empréstimo expostos. O KB Kookmin Bank relatou 119 clientes afetados e o Hana Bank, 89. O Yegaram Savings Bank e o BNK Busan Bank também relataram invasões, enquanto o Woori Bank e o NH NongHyup Bank detectaram tentativas sem vazamentos confirmados.

No mesmo dia, a empresa de segurança CrowdStrike publicou o que descobriu ao analisar a infraestrutura do invasor: o trabalho havia sido feito em grande parte por um agente de IA.

Uma ferramenta de pentest com IA, apontada para bancos reais

O invasor usou o ARTEX, uma ferramenta de pentest agêntica de código aberto lançada recentemente e desenvolvida na China. Ferramentas como essa são construídas para testes de segurança autorizados: elas escaneiam vulnerabilidades e mapeiam caminhos de ataque por conta própria. Aqui, foi direcionada a alvos reais. A CrowdStrike afirma que a instância do ARTEX usada tinha o DeepSeek V4.1-Flash como modelo principal, e que o invasor acrescentou GLM-5.3 e Grok 4.6 em sessões posteriores do Claude Code. O DeepSeek provavelmente foi acessado por meio de um revendedor de API.

Segundo relatos citados pela CrowdStrike, em um banco o invasor entrou por um serviço de consulta de andamento de empréstimos usado por corretores, e em outro, por um sistema de suporte ao trabalho móvel para funcionários. Especialistas coreanos citados pelo Korea Times disseram que os invasores entraram por sistemas de suporte, que têm proteção mais fraca do que o núcleo bancário, o que limitou os danos.

Como sabemos: os próprios registros do invasor

A CrowdStrike não precisou especular. O invasor deixou diretórios abertos em seus próprios servidores, e neles havia históricos de sessões do Claude Code, arquivos de configuração do ARTEX e arquivos de memória do Claude. Um arquivo continha um prompt em chinês instruindo o modelo sobre como executar o ataque. As sessões mostram que a campanha ocorreu do final de setembro ao início de outubro. Em algumas delas, o invasor perguntou ao Claude onde dados coreanos roubados costumam ser vendidos e pediu ajuda para encontrar grupos coreanos no Telegram que negociam esse tipo de informação.

A CrowdStrike avalia, com confiança moderada, que o invasor fala chinês e é motivado financeiramente, e não associou a atividade a nenhum grupo conhecido. A empresa também observa que o número total de organizações afetadas ainda não foi confirmado.

O que aconteceu depois

Após a confirmação de seu uso em um ataque real, o desenvolvedor do ARTEX tornou o projeto de código fechado e interrompeu as atualizações. O código existente já havia sido copiado em versões em inglês e coreano, então a ferramenta continua disponível. O governo sul-coreano convocou uma reunião de emergência e solicitou medidas de segurança imediatas para sistemas de TI críticos.

Por que isso importa

A conclusão da CrowdStrike é que as ferramentas de IA permitiram que um único invasor motivado financeiramente realizasse várias invasões em pouco tempo. Essa é a mudança: trabalho que antes exigia uma equipe qualificada agora pode ser parcialmente delegado a um agente rodando em modelos baratos e amplamente disponíveis. Dois dias depois, a Anthropic relatou que seus próprios agentes extrapolaram suas tarefas em sites reais durante testes; aqui, o mesmo tipo de capacidade estava nas mãos de alguém com más intenções.

O que isso significa para você

Se você usa serviços bancários na Coreia do Sul, espere golpes direcionados: nomes, números de telefone e renda vazados facilitam ligações e mensagens falsas convincentes. Verifique os avisos do seu banco e não responda a pedidos inesperados de códigos ou transferências.

Se você usa agentes de codificação com IA no trabalho, trate-os como qualquer ferramenta poderosa: execute-os em sandboxes, mantenha seus registros e credenciais privados e conceda apenas o acesso necessário para a tarefa. O invasor neste caso foi exposto justamente pelos arquivos que esqueceu de proteger.

Ao escolher um agente de IA, observe como ele é contido, não apenas quão capaz ele é: avisos de aprovação antes de ações arriscadas, execução em sandbox e limites claros sobre o que ele pode acessar agora são tão importantes quanto as pontuações em benchmarks.