Coreia Do Sul Prende Bando Que Usou IA Para Roubar 8,2 Milhões De Registros

A Polícia Metropolitana de Seul anunciou na segunda-feira, 26 de outubro, a prisão de sete pessoas acusadas de usar inteligência artificial generativa para invadir empresas sul-coreanas e roubar dados pessoais. É o primeiro caso de grande escala de hacking com IA registrado no país: ao longo de aproximadamente 13 meses, de setembro de 2025 a outubro de 2026, o grupo teria invadido cerca de 90 organizações e levado 8,2 milhões de registros pessoais — nomes, números de registro de residência, endereços e documentos internos corporativos.

O caso importa porque encerra a discussão sobre se o crime cibernético assistido por IA é teórico ou real: a promotoria diz que não é. O líder do bando, identificado apenas como A, de 32 anos, é autodidata em programação — sem formação em TI — e, segundo as autoridades, implantou um agente de codificação com IA e uma ferramenta autônoma de testes de invasão no fim de agosto. Em 44 dias, até outubro, o conjunto arrombou 60 empresas.

Academias, Hospitais, Campos De Golfe E Universidades

Os alvos formam um retrato pouco comum de violação de dados. O grupo atacou sites de hagwons (academias privadas), hospitais, campos de golfe, universidades e subsidiárias financeiras — qualquer organização que acumulasse dados pessoais e documentos internos valiosos para chantagem:

• 8,2 milhões de registros roubados de ~90 organizações em 13 meses;
• Ferramenta central: ARTEX, framework open-source de pentest agêntico desenvolvido na China, combinado a modelos de linguagem;
• 60 empresas invadidas em 44 dias a partir de finais de agosto, com o agente de IA automatizando a exploração;
• Segunda frente: hacks contra 16 instituições financeiras no fim de setembro, com fuga de 100 mil registros.

As extorsões somaram 360 milhões de won (cerca de US$ 272 mil) em exigências; apenas uma empresa pagou — 300 mil won, ou cerca de US$ 210. A chantagem foi o objetivo final dos dados roubados.

Como A IA Mudou O Modus Operandi

Segundo a unidade de investigação cibernética de Seul, a IA generativa atuou em três frentes: descoberta de vulnerabilidades em escala, geração do código de exploração e redação das mensagens de extorsão. Um dos cúmplices ficou responsável por preparar contas de e-mail e recrutar pessoas para disparar as ameaças às vítimas. A polícia, por sua vez, usou um sistema próprio de IA para analisar 530 mil dos registros apreendidos — a análise manual do material teria levado meses. Os sete indiciados responderão por violação da Lei de Rede de Informações e Comunicação, extorsão e tentativa de extorsão; seis cúmplices seguem em investigação sem prisão.

O Rastreamento Bancário E A Emergência Regional

O caso convive com uma onda maior. No fim de setembro, um ataque com ARTEX e LLMs atingiu 16 instituições financeiras sul-coreanas, segundo a CrowdStrike, com fuga de dados do Shinhan Bank, do Yegaram Savings Bank e alertas para KB Kookmin, Hana e BNK Busan — cerca de 100 mil registros vazados e 25 mil clientes do Shinhan afetados. No Japão, mais de 600 incidentes cibernéticos corporativos já foram registrados até o início de outubro, superando todo o ano de 2025, com autoridades falando em "emergência nacional do ciberespaço".

A lição para empresas brasileiras é a mesma que os números sul-coreanos contam: quando a invasão vira produto de IA, o custo de explorar dezenas de alvos cai para perto de zero — e a defesa precisa migrar de bloqueio de ponto a bloqueio de automação, com monitoramento de comportamento, segmentação de rede e resposta pronta para o dia em que alguém invadir com um agente.