CrowdStrike aponta que o presumível autor dos recentes ataques informáticos contra bancos sul-coreanos poderá ser um jovem de 26 anos, na China, que recorreu ao Claude Code da Anthropic e a uma ferramenta chinesa de teste de intrusão.
Principais destaques:
- A CrowdStrike ainda não associou a campanha a um grupo específico e atribui confiança moderada às conclusões sobre o operador.
- Um pedido de elaboração de currículo numa sessão do Claude Code indicava 26 anos e localização em Maoming, Guangdong.
- Pelo menos nove bancos sul-coreanos foram visados desde o fim de setembro, e a identidade do suspeito permanece sem confirmação.
O que revelou o relatório da CrowdStrike
A empresa norte‑americana de cibersegurança afirmou, num relatório publicado na quarta‑feira, ter encontrado dados pessoais ligados ao atacante ao analisar sessões de programação em IA e servidores usados na campanha, que decorreu do fim de setembro ao início de outubro.
Os analistas examinaram diretórios abertos em servidores controlados pelo atacante, contendo históricos de sessões do Claude Code, ficheiros de memória e ficheiros de configuração do ARTEX, um agente open source de teste de penetração desenvolvido na China. Numa das sessões, o utilizador pediu ao Claude que redigisse um currículo de investigador de segurança. O pedido incluía uma conta de Telegram, a idade de 26 anos, referência à Universidade de Tecnologia do Sul da China e localização em Maoming, cidade na província de Guangdong.
A CrowdStrike considera provável que estes dados pertençam ao atacante, mas reconhece ser difícil estabelecer uma ligação conclusiva. Um homem que atendeu o número de telefone incluído no relatório disse a jornalistas desconhecer o caso.
Veja também: Quanto ganha o CEO da Anthropic? O prospecto de IPO traz a resposta
Uso do Claude Code e do ARTEX
Nenhum grupo de cibercrime foi oficialmente responsabilizado. A CrowdStrike descreve o operador como “provavelmente falante de chinês e motivado financeiramente”, avaliação que classifica como de confiança moderada, com base no uso de uma ferramenta criada na China e de pedidos em chinês. O ARTEX surgiu este ano no GitHub como ferramenta que se liga a modelos de linguagem externos, sendo a sua página clara ao indicar que se destina a aprendizagem pessoal e não deve ser usada contra sistemas em produção.
Os registos também sugerem um claro objetivo de lucro.
O utilizador perguntou ao Claude onde é normalmente vendido dado roubado na Coreia do Sul e como encontrar grupos no Telegram que o comercializam. O ARTEX correu sobretudo sobre o DeepSeek v4.1-flash, enquanto outras sessões do Claude Code recorreram ao GLM-5.3, da Zhipu AI, e ao Grok 4.6. A CrowdStrike antecipa que atacantes continuarão a adotar estas ferramentas para acelerar operações.
Violação de dados em bancos sul‑coreanos
Pelo menos nove bancos da Coreia do Sul já comunicaram incidentes ou foram mencionados pela imprensa local desde o fim de setembro, levando a polícia a abrir investigação esta semana e o presidente Lee Jae Myung a exigir uma resposta firme.
O Shinhan Bank reportou o compromisso de dados pessoais de cerca de 25 mil clientes através de um serviço de consulta de intermediários de crédito, enquanto o KB Kookmin Bank indicou o vazamento de 119 registos de clientes a partir de um sistema interno de apoio a colaboradores. Em 3 de outubro, um responsável do Korea Financial Security Institute confirmou que os registos de ataque ao Shinhan foram rastreados até ao ARTEX, acrescentando que o hacker utilizou a IA como ferramenta e que esta não atuou de forma autónoma.
Leia a seguir: Os 722 artigos de matemática em IA da OpenAI são públicos; agora cabe aos matemáticos avaliá‑los
