Um único atacante invadiu sete instituições financeiras sul-coreanas, e reguladores suspeitam de ferramentas de IA

Os reguladores financeiros da Coreia do Sul convocaram uma reunião de emergência para todo o setor depois que investigadores ligaram as invasões a sete empresas financeiras a um único atacante. Os alvos incluem três dos maiores bancos do país, Shinhan Bank, KB Kookmin Bank e Hana Bank, além de BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank e a subsidiária de financiamento de veículos Hyundai Capital. A reunião ocorreu em 4 de outubro, e a Comissão de Serviços Financeiros e o Serviço de Supervisão Financeira coordenam a resposta, conforme primeiro noticiou o Seoul Economic Daily.

O caso chama atenção menos pela escala do que pelo método. Segundo os investigadores, o mesmo atacante alternou repetidamente endereços IP em oito países, entre eles Coreia do Sul, Estados Unidos, Japão, Hong Kong, Singapura, Vietnã, Tailândia e Reino Unido. Park Sang-won, chefe do Instituto de Segurança Financeira, disse que os atacantes pareciam ter usado ferramentas de IA para conduzir campanhas de intrusão automatizadas. Entre os detalhes divulgados há uma cadeia em chinês, que parece o título de um console de testes de intrusão autônomos, encontrada em um servidor web comprometido. É uma pista, não uma atribuição, e os investigadores não identificaram nenhum grupo responsável.

Como as invasões aconteceram

Os reguladores identificaram três categorias de fragilidade. A primeira são serviços internos de consulta de informações sem verificação de identidade adequada. A segunda, sistemas de suporte a funcionários sem controles de acesso a dispositivos e com vulnerabilidades web não corrigidas. A terceira, sites públicos explorados por falhas conhecidas para instalar código malicioso e roubar arquivos de log de clientes. Nenhuma dessas técnicas é nova. O que muda é a velocidade e a amplitude: um único operador trabalhando em muitos alvos em pouco tempo e trocando de infraestrutura sempre que era bloqueado.

Os dados comprometidos teriam vindo de sistemas auxiliares de funcionários e de corretores de empréstimos. Relatos citam cerca de 2.200 registros de representantes de empresas, com nomes, endereços de e-mail e números de telefone. As autoridades afirmam que os serviços voltados ao cliente não foram afetados e que, até agora, não há perdas financeiras relatadas.

O que os reguladores pedem às empresas

A Comissão de Serviços Financeiros pediu a cerca de 500 empresas que revisem seus sistemas contra as mesmas três fragilidades, com prazos escalonados. Bancos e empresas de cartões têm até 6 de outubro, e corretoras, seguradoras, poupanças e provedores de serviços financeiros eletrônicos até 8 de outubro. Para empresas fora desse grupo, a lição é a mesma: uma vulnerabilidade conhecida em sistema público já é uma porta de entrada realista para um atacante automatizado, e a janela entre divulgação e exploração está encurtando.

Por que o ângulo da IA importa

A intrusão assistida por IA é um alerta há anos, mas a maioria dos casos públicos envolvia atacantes usando modelos de linguagem para redigir e-mails de phishing ou trechos de código. Um caso em que os investigadores acreditam que a automação cuidou de reconhecimento, exploração e rotação de infraestrutura em várias instituições é um exemplo muito mais concreto. Como ainda não há uma cronologia técnica completa, o papel da IA deve ser tratado como fator suspeito, não confirmado, até a publicação do relatório forense.

Como noticiou o Seoul Economic Daily, a reunião de emergência veio após a descoberta de endereços IP compartilhados entre incidentes em instituições antes não relacionadas. A suficiência dos prazos escalonados dependerá de quantas das 500 empresas já aplicaram os patches relevantes.