Um indivíduo suspeito de liderar investidas virtuais contra pelo menos nove corporações bancárias sul-coreanas pode ter entregado a própria identidade ao interagir com o Claude, assistente de inteligência artificial desenvolvido pela Anthropic. Dados levantados pela empresa de cibersegurança CrowdStrike e divulgados nesta quarta-feira (7) sugerem que o operador seria um jovem de 26 anos operando a partir do território chinês.
Os detalhes foram repercutidos pela agência Reuters nesta quinta-feira (8). Os episódios ocorreram entre o término de setembro e o começo de outubro, resultando no vazamento de registros confidenciais de correntistas em algumas das maiores marcas do sistema financeiro da Coreia do Sul.
Especialistas da CrowdStrike conseguiram examinar logs de conversas vinculadas ao Claude Code — utilitário de programação da Anthropic — que estavam salvos em diretórios ligados às invasões. Em um dos diálogos recuperados, o investigado solicitou que a tecnologia redigisse um resumo curricular profissional integrando dados biográficos reais.
Embora o material aponte indícios consistentes, os analistas ponderam que a confirmação cabal da autoria ainda não foi estabelecida. Paralelamente, as forças de segurança sul-coreanas conduzem investigações próprias sobre o caso.
Hacker suspeito de atacar bancos na Coreia do Sul deixou informações pessoais em registros de conversas com o Claude Code (André Magalhães/Canaltech)
Como as pistas foram deixadas no Claude?
A descoberta emergiu no contexto de análises sobre o emprego de sistemas inteligentes para a automação de ofensivas contra corporações financeiras.
Conforme o relatório, o invasor empregou o ARTEX, um framework de código aberto originário da China voltado para testes automatizados de intrusão e mapeamento de brechas tecnológicas. Embora concebido para fins defensivos e auditorias legítimas, o recurso pode ser instrumentalizado para burlar barreiras de proteção. O ARTEX opera integrado a LLMs e, no caso em questão, utilizava o DeepSeek como motor central de processamento, além de outras utilidades.
O Claude Code também integrou o ecossistema tecnológico mobilizado pelo criminoso. A CrowdStrike localizou arquivos de configuração e históricos de bate-papo preservados em pastas expostas nos servidores da operação.
Em uma das interações, o suspeito pediu auxílio ao assistente virtual para estruturar um currículo na área de auditoria de segurança, incorporando métricas e êxitos obtidos durante as incursões recentes.
A solicitação trazia dados sensíveis como faixa etária, percurso acadêmico, telefone, usuário do Telegram e uma coordenadas geográfica na cidade de Maoming, situada na província chinesa de Guangdong. O perfil indicava um indivíduo de 26 anos formado pela Universidade de Tecnologia do Sul da China, embora os peritos tenham detectado divergências numéricas em relação a registros de data de nascimento fornecidos em etapas prévias.
Adicionalmente, o mesmo perfil de contato no Telegram foi rastreado em outras frentes voltadas à prospecção de fragilidades digitais. Em diálogos adicionais, o investigado consultou o Claude sobre locais virtuais onde hackers comercializam dados corporativos subtraídos de empresas sul-coreanas e como localizar canais de negociação no Telegram.
A avaliação da CrowdStrike, pautada em um patamar moderado de convicção, aponta que o agente opera em língua chinesa e é movido por interesses econômicos. Até o momento, faltam elementos probatórios para vincular o episódio de forma definitiva a uma pessoa específica.
Questionado pela Reuters, um morador que atendeu ao terminal telefônico citado na apuração negou qualquer envolvimento. Por sua vez, o governo da China informou não possuir registros sobre a ocorrência e reiterou repúdio a práticas de invasão em redes digitais.
O impacto no sistema bancário da Coreia do Sul
A onda de incidentes cibernéticos tem colocado em alerta o setor financeiro sul-coreano ao atingir marcas de destaque nas últimas semanas.
Desde o final de setembro, ao menos nove bancos figuraram como alvos de violações. A lista abrange nomes como Shinhan Bank, KB Kookmin Bank, Hana Bank e Woori Bank.
As brechas culminaram na exposição de informações privadas de usuários. O Shinhan Bank admitiu que cerca de 25 mil pessoas foram afetadas, enquanto o KB Kookmin Bank contabilizou 119 correntistas com registros vazados. O Hana Bank reportou 89 casos de exposição de dados cadastrais, como nomes, números de registro civil e telefones, assegurando contudo que ativos financeiros permaneceram intactos.
Outras instituições, a exemplo do Yegaram Savings Bank e do Welcome Savings Bank, também sofreram sanções indiretas. Apesar da gravidade, as agências governamentais não registraram desvios diretos de valores monetários decorrentes dessa sequência de ataques.
Diante do cenário, a Comissão de Serviços Financeiros da Coreia do Sul realizou uma cúpula de emergência com executivos bancários e órgãos fiscalizadores no dia 2 de outubro para endurecer barreiras defensivas. Dois dias depois, o presidente Lee Jae Myung ordenou uma varredura aprofundada nas falhas de segurança do segmento. Na terça-feira (6), o mandatário enfatizou a presença de indícios do uso de inteligência artificial nos episódios e exigiu ações preventivas.
Especialistas alertam que o maior risco decorre do uso comercial desses dados em fraudes de engenharia social. Mesmo sem o vazamento de chaves de acesso ou senhas, criminosos podem manipular fichas cadastrais, dados de renda e histórico de empréstimos para se passarem por prepostos de entidades financeiras.
Bancos sul-coreanos enfrentam uma sequência de ataques cibernéticos desde o final de setembro, com vazamentos de dados de milhares de clientes (franganillo/Pixabay)
A expansão dos incidentes digitais no país
A vulnerabilidade cibernética na Coreia do Sul tem extrapolado o ambiente bancário, alcançando organizações de segmentos variados.
Na quarta-feira (7), a Reuters indicou que duas congregações religiosas de grande porte no país apuravam possíveis invasões facilitadas por IA. A Yoido Full Gospel Church estimou que os registros de até 850 mil fiéis possam ter sido acessados indevidamente, abrangendo nomes, datas de nascimento e, em certas situações, documentos de identidade. A SaRang Church também apura a exposição potencial de quase 90 mil contas. Não há confirmação de que os autores sejam os mesmos que visaram os bancos.
Esses episódios sucedem grandes crises de segurança digital na região. Em abril de 2025, uma investida contra a operadora SK Telecom comprometeu dados de aproximadamente 23 milhões de assinantes, e, no mesmo período, a varejista de comércio eletrônico Coupang sofreu uma violação que expôs mais de 33 milhões de cadastros.
No caso do setor financeiro, a adoção de agentes autônomos baseados em inteligência artificial consolida um novo patamar de risco para os investigadores, viabilizando que um único indivíduo acelere o ciclo de exploração de falhas e atinja múltiplos alvos simultaneamente.
Segundo Adam Meyers, vice-presidente de inteligência de ameaças da CrowdStrike, a tecnologia amplia exponencialmente o volume de alvos alcançados por um único operador. As apurações seguem em curso para determinar a amplitude exata da responsabilidade nos eventos recentes.
