Sete bancos sul-coreanos foram invadidos com um agente de pentest de IA de código aberto — investigadores dizem que um humano ainda o estava conduzindo

Entre 28 de setembro e os primeiros dias de outubro de 2026, invasores invadiram pelo menos sete instituições financeiras sul-coreanas — Shinhan Bank, KB Kookmin Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank e Hyundai Capital — e saíram com os registros pessoais de cerca de 66 mil pessoas, além de aproximadamente 2.200 registros corporativos, segundo números divulgados pelas instituições e compilados por veículos de imprensa coreanos. Nenhum dinheiro foi movimentado: a Comissão de Serviços Financeiros disse que os atacantes não levaram senhas nem códigos de autenticação de uso único, e confirmou que nenhum cliente perdeu fundos. O que levaram foi a matéria-prima para fraudes — nomes, números de telefone, rendas anuais, limites de crédito calculados, endereços e, em várias empresas, números de identidade nacional.

Em 6 de outubro de 2026, o presidente Lee Jae Myung declarou em uma reunião de gabinete que "em alguns incidentes de hacking, surgiram sinais do uso de IA, causando considerável preocupação e ansiedade no público", de acordo com a Reuters, citada pelo American Banker. Ele não citou nenhum modelo nem ferramenta. Os investigadores já dispunham de um: ARTEX, um sistema autônomo de teste de intrusão de código aberto, criado para executar múltiplos agentes de IA contra um alvo. A avaliação do Financial Security Institute, concedida ao Herald Business, é de que a IA "não agiu de forma independente sem o envolvimento humano".

As portas laterais, não o cofre

Nenhuma das sete violações atingiu o core banking. A regulamentação coreana exige que os sistemas centrais dos bancos sejam fisicamente separados das redes externas, e o Instituto de Segurança Financeira disse ao Herald Business que cada ataque que examinou atingiu sistemas internos voltados a funcionários ou parceiros. Esses sistemas armazenam grandes volumes de dados de clientes e, por admissão do próprio instituto, "foram gerenciados com menos rigor" do que os aplicativos para consumidores.

• Shinhan Bank — um serviço de consulta do andamento de empréstimos criado para recrutadores de empréstimos, agentes externos que encaminham tomadores. Cerca de 25.000 clientes foram afetados, segundo o aviso do banco de 1º de outubro, que listava nomes, números de telefone, rendas anuais e limites de empréstimo calculados. Veículos de imprensa coreanos posteriormente elevaram o número para 25.727. O Tech Times informou que 66 números de identidade nacional e 97 identificadores CI também foram obtidos; esses números não aparecem no aviso do banco.

• KB Kookmin Bank — um sistema de suporte ao trabalho móvel para funcionários. O American Banker informou que 99 clientes e 20 funcionários atuais ou ex-funcionários foram afetados; veículos de comunicação coreanos noticiaram um total fixo de 119. O Tech Times disse que nomes, números de telefone, endereços e números de identidade nacional criptografados foram expostos, e que a detecção levou cerca de 43 horas.

• Hana Bank — um sistema de suporte de vendas para funcionários conhecido como ODS, expondo 89 clientes: números de identidade nacional, nomes, endereços, endereços de e-mail e números de telefone, segundo o Tech Times.

• BNK Busan Bank — páginas web com "validação de sessão insuficiente", nas palavras do banco à Yonhap, expondo dados de 11 desenvolvedores terceirizados.

• Yegaram Savings Bank — um servidor que armazenava registros de clientes; aproximadamente 40.000 pessoas, o maior número de vítimas divulgado em um único caso. O banco já havia publicado um aviso de que um hacker não identificado obteve acesso e causou um vazamento, informou o Herald Business.

• Welcome Savings Bank — mais de 2.200 registros de clientes corporativos, de acordo com a compilação do Kyunghyang Shinmun do briefing das autoridades em 4 de outubro.

• Hyundai Capital — a página de consulta de solicitadores de empréstimos hipotecários, expondo 146 solicitadores, segundo o Tech Times e o Seoul Shinmun.

Duas coisas sobre a aritmética merecem ser ditas claramente. O 66.000 não é um número publicado por nenhum regulador; é a soma de sete divulgações separadas em nível institucional, e mudou durante a primeira semana de outubro, à medida que as empresas concluíam suas revisões de logs. Em 3 de outubro, o Herald Business situou o total confirmado em "pouco menos de 26.000", antes de os cerca de 40.000 da Yegaram serem acrescentados. O Tech Times, escrevendo em 5 de outubro, disse que a contagem confirmada havia ultrapassado 65.000 e que se esperava que aumentasse. O arquivo registra o intervalo como 65.000 a 68.000. Separadamente, o Financial Security Institute disse ao Herald Business que "muito mais instituições foram atacadas do que aquelas que acabaram tendo incidentes reais", incluindo organizações fora do setor bancário — uma declaração que não foi quantificada.

Como o título de uma página se tornou uma atribuição

O link ARTEX não veio da confissão dos atacantes. Veio de uma string no cabeçalho de uma página web. Em 2 de outubro, Moon Jong-hyun, chefe do Genians Security Center, publicou que servidores web usados em ataques a vários alvos coreanos traziam o título HTML "ARTEX-自主渗透测试控制台" — aproximadamente "console autônomo de testes de penetração ARTEX" — segundo o Kyunghyang Shinmun. Isso era circunstancial: o nome de uma ferramenta no título de uma página mostra que um servidor executou a ferramenta, não que a ferramenta fez o roubo.

O Instituto de Segurança Financeira, então, fez a parte que importava. Um funcionário do instituto disse ao Herald Business que os investigadores rastrearam os IPs de ataque e os logs de servidor do Shinhan Bank — a primeira instituição a relatar — e encontraram evidências que apontavam para o ARTEX, e que o tráfego da ferramenta carrega "uma assinatura de dados específica comum" a ela, e foi assim que os atacantes foram identificados entre as vítimas. O presidente do instituto, Park Sang-won, disse aos repórteres que os IPs de ataque eram "quase os mesmos para os bancos, e um pouco diferentes para as caixas econômicas", e advertiu que isso não estabelece quem estava por trás disso: "O ARTEX é de código aberto e está disponível publicamente no mundo todo", disse ele. "Os IPs de ataque podem ser roteados por vários lugares, então os IPs sozinhos não podem identificar o atacante." IPs de oito países foram usados, segundo o Kyunghyang Shinmun.

A reconstrução independente da CrowdStrike, publicada em 7 de outubro, foi além de qualquer veículo coreano. Sua equipe de Counter Adversary Operations encontrou diretórios abertos em servidores controlados pelos atacantes — um deles em 38.244.50[.]120, que hospedava uma instância do ARTEX e um arquivo de configuração do C​laude Code contendo um prompt de testes de invasão em chinês, e um endereço em Hong Kong que guardava históricos de sessões do C​laude Code, arquivos de configuração do ARTEX e arquivos de memória do C​laude. Os diretórios nunca foram protegidos. A CrowdStrike leu as notas de trabalho da operação.

A configuração revelada por essas notas é específica: a instância do ARTEX usava DeepSeek v4.1-flash como seu backend principal de modelo, com GLM-5.3 da Zhipu AI e Grok 4.6 adicionados para outras sessões do Claude Code, e o operador provavelmente acessou o DeepSeek por meio de um revendedor que a CrowdStrike identifica como xcai[.]pro. Esse é um cenário diferente da própria documentação do ARTEX: o American Banker observou que a página do GitHub da ferramenta a descreve como operando com modelos da Anthropic ou da OpenAI. A ferramenta não fornece um modelo; ela fornece um harness, e quem a opera fornece a inteligência.

A CrowdStrike também flagrou o operador fazendo algo além de intrusão. Nas sessões que recuperou, o usuário perguntou ao Claude onde agentes de ameaça normalmente vendem dados de violações coreanos e pediu ajuda para encontrar grupos coreanos no Telegram que os vendem. Em outra, o usuário pediu ao Claude para redigir um currículo de pesquisador de segurança listando os resultados do trabalho ARTEX. A CrowdStrike disse que os dados pessoais nesse prompt "provavelmente pertencem ao agente de ameaça", mas que "as informações atualmente disponíveis não podem associar definitivamente esses dados ao agente de ameaça". A Security Affairs, que cobriu o relatório, foi além e argumentou que esses dados não deveriam ser repetidos em uma matéria jornalística de forma alguma. Eles não são repetidos aqui.

O que o ARTEX realmente é

O ARTEX é um sistema autônomo de testes de penetração multiagente impulsionado por modelos de linguagem de grande porte, lançado no GitHub sob o identificador de desenvolvedor Autumn-27. Segundo a leitura de seu repositório pelo Kyunghyang Shinmun, foi publicado em 26 de julho de 2026, conquistou o primeiro lugar entre cerca de 150 equipes em uma competição de ataque e defesa cibernética promovida pelo Baidu em 3 de setembro, e lançou sua versão mais recente em 24 de setembro — três dias antes da primeira intrusão coreana que o jornal data de 27 de setembro. Foi criado para testes de segurança autorizados, do tipo que bancos compram: encontrar as falhas antes que outra pessoa o faça.

Depois que a campanha se tornou pública, Autumn-27 transformou o projeto em código fechado. "O ARTEX foi originalmente projetado com o propósito de aprendizado e pesquisa", disse o desenvolvedor em um comunicado noticiado pelo The Hacker News. "Diante da realidade do abuso de ferramentas, o projeto ARTEX não será mais atualizado e será convertido em código fechado. Não haverá lançamento de nenhuma versão nem suporte de manutenção no futuro." Fechar o repositório não recolhe as cópias já baixadas, e o argumento do Financial Security Institute ao Herald Business era que o ARTEX não é especial: "Existem muitas ferramentas de IA de código aberto como o ARTEX. Atualmente, não há como restringir tudo o que está sendo desenvolvido e distribuído pelo mundo."

O que está estabelecido e o que não está

É aqui que o registro recompensa um leitor atento, porque as partes seguras e as partes incertas ficam muito próximas.

Estabelecido: sete instituições nomeadas sofreram violações de dados entre o final de setembro e o início de outubro de 2026; os invasores chegaram a sistemas auxiliares, e não aos sistemas bancários centrais; as perdas divulgadas totalizam aproximadamente 66.000 registros individuais, além de cerca de 2.200 corporativos; o Instituto de Segurança Financeira rastreou os logs do Shinhan e encontrou o ARTEX; a CrowdStrike encontrou de forma independente infraestrutura, arquivos de configuração e históricos de sessões de LLM do ARTEX em servidores controlados pelos atacantes; e a avaliação do instituto é que um humano direcionou a ferramenta.

Não estabelecido: quem o fez. A CrowdStrike não atribuiu a campanha a nenhum adversário nomeado e avaliou com apenas confiança moderada que o operador é um falante de chinês com motivação financeira — um julgamento baseado no uso de uma ferramenta desenvolvida na China e de prompts em língua chinesa, ambos sinais fracos para determinar nacionalidade. O Kyunghyang Shinmun citou Park Chun-sik, da Universidade Ajou, fazendo o ponto óbvio de que grupos sofisticados passam por vários países justamente para quebrar essa inferência. Também não está estabelecido que o ARTEX tenha sido usado em todas as sete invasões, apenas que foi identificado nos ataques aos bancos e que os bancos de poupança foram atacados de maneira semelhante.

Contestado nas margens:como funcionou a intrusão na Shinhan. A Yonhap descreveu preenchimento de credenciais (credential stuffing); o Dong-A Ilbo, partindo de um relatório de incidente que a Shinhan forneceu a um legislador, descreveu enumeração — introduzir números de clientes aleatórios no serviço de consulta até que alguns devolvessem dados — ao longo de cerca de 30 horas desde 28 de setembro. O que não está em disputa é o desfecho: uma etapa de verificação por telemóvel foi contornada, e nenhum relato explicou como. O comunicado da Shinhan diz apenas que um "agente externo não autorizado" acedeu a alguns serviços "por meios anómalos".

Não confirmado formalmente por um regulador: a própria atribuição ao ARTEX. A constatação do Instituto de Segurança Financeira chegou ao público por meio de um funcionário que falou ao Herald Business, e o American Banker observou categoricamente que "nenhum regulador nomeou publicamente o ARTEX como envolvido no ataque". Essa distinção importa menos do que parece — o instituto é a agência de cibersegurança do setor e seu presidente discutiu o caso com repórteres —, mas é a diferença entre uma constatação de uma agência e um comunicado oficial de uma agência, e o registro preserva isso.

O que mudou depois disso

A resposta regulatória foi rápida e, pelos padrões sul-coreanos, excepcionalmente ampla. A Comissão de Serviços Financeiros realizou reuniões de emergência na sexta-feira, 2 de outubro, e no domingo, 4 de outubro, e ordenou que as empresas financeiras inventariassem todos os sistemas expostos à internet "independentemente de serem voltados ao cliente", com lacunas a serem corrigidas até 8 de outubro, segundo a Yonhap. Ela disse às empresas que dados de crédito pessoal não devem ser "armazenados ou visualizáveis desnecessariamente" em sistemas usados por funcionários e por "pessoal externo, como recrutadores de empréstimos e prestadores de serviços terceirizados", o que chamou de "a causa das recentes intrusões". A polícia abriu uma investigação formal, e o Instituto de Segurança Financeira começou a elaborar uma recomendação para que as empresas auditassem todos os sistemas internos voltados a funcionários entre seus pontos de acesso externos.

O alerta ao consumidor da comissão, emitido em 6 de outubro, afirmava que os atacantes não haviam obtido senhas nem códigos de uso único e que nenhum cliente tinha perdido dinheiro, mas alertava que os dados roubados de renda e de empréstimos tornavam fácil criar ofertas de empréstimo falsas e convincentes. O diretor do Financial Security Institute esperava o mesmo: "O atacante não assumiu o controle dos sistemas — ele entrou e extraiu informações consultando-as", disse o funcionário ao Herald Business. "Os dados pessoais vazados poderiam ser usados para phishing por voz e golpes semelhantes, mas não esperamos que valores sejam transferidos diretamente das contas."

A mudança mais consequente é uma que o registro afirma e a cobertura sul-coreana complica. Os reguladores vinham flexibilizando separação de rede — a regra que mantém os sistemas de negócios dos bancos fisicamente isolados de redes externas — para permitir que as empresas executem ferramentas de segurança de IA. Um primeiro grupo de empresas foi admitido, e uma segunda rodada seria selecionada entre 75 candidatos, com limite de 15, em 7 de outubro. O Tracker informou em 21 de outubro que a comissão adiou essa seleção, citando funcionários mobilizados para a resposta a incidentes, e que nenhuma data de retomada foi definida; também informou que a comissão insiste que não abandonou a própria política. Essa nuance é coerente com o que o presidente da Comissão de Serviços Financeiros, Lee Eok-won, disse em uma auditoria parlamentar em 8 de outubro, conforme noticiado pela Yonhap: que, para deter ataques impulsionados por IA, "você acaba tendo que usar IA", e que a comissão estava examinando "formas faseadas e eficazes" de alterar as regras de separação. A segunda rodada atrasou; a direção da política não se inverteu visivelmente.

A responsabilização também avançou. O Tracker noticiou que o governador do Financial Supervisory Service, Lee Chan-jin, afirmou à mesma auditoria, em 19 de outubro, que este caso poderá se tornar o primeiro em que a responsabilidade de um executivo-chefe pelo controle interno é formalmente examinada em razão de um incidente cibernético, e que o órgão está avaliando uma responsabilização mais rigorosa para CISOs e CEOs. Nem os bancos nem o regulador publicaram um relatório de causa raiz.

Como o arquivo o arquiva

O registro é um incidente — um evento concretizado, não uma previsão — datado de 6 de outubro de 2026, o dia em que o presidente reconheceu o sinal de IA e o dia em que o alerta ao consumidor da comissão foi emitido. A gravidade é crítica; as etiquetas de tipo são WEAPON e EXFIL, o que significa uma ferramenta reaproveitada como instrumento de ataque e dados exfiltrados. Dano real está registrado como verdadeiro, o envolvimento de IA está confirmado, e a classificação de confiança é A — bem documentado, com fontes primárias que concordam. O registro não está sinalizado como contestado.

Essa nota merece uma leitura precisa. Diz que o evento e a sua forma estão bem atestados: as violações, os sistemas, as contagens, a ferramenta, a direção humana. Não diz que o operador foi identificado, porque ninguém identificou o operador, e não converte a conclusão de um instituto num aviso de um regulador. A única coisa que este caso estabelece para além dos seus próprios números é mais restrita e mais útil: um agente de código aberto criado para testes autorizados foi apontado a sete empresas financeiras, reduziu a competência necessária para conduzir uma campanha contra múltiplos alvos em menos de uma semana, e o que o travou não foi um modelo engenhoso, mas um instituto que reparou no título de uma página e um banco que leu os seus próprios registos.

Este registro aparece junto aos demais incidentes de IA documentados em o arquivo de incidentes de IA, em que cada entrada traz suas próprias fontes, gravidade, grau de confiança e sinalização de disputa.