Há anos, os hackers discretos da Coreia do Norte e seus trabalhadores de tecnologia fraudulentos vêm se infiltrando em empresas pelo mundo, roubando segredos corporativos e desviando bilhões em criptomoedas para financiar o regime totalitário e seus programas armamentistas. Agora, um pesquisador de segurança que passou quase dois anos explorando os sistemas de um grupo desses hackers norte-coreanos está alertando sobre o quão eficaz e abrangente tem sido a estratégia de visar funcionários e prestadores de serviços individuais para invadir organizações em todo o planeta.
Desde que obteve acesso aos sistemas norte-coreanos há 22 meses, o pesquisador grego Vangelis Stykas afirma ter encontrado provas de que 1.640 empresas em 57 países foram afetadas pelas operações de hackers do país. Dentre essas, entre 700 e 800 organizações sofreram invasões consideradas "altamente prejudiciais", segundo ele detalhará nesta apresentação na conferência de segurança Black Hat, em Las Vegas.
"É acesso à empresa, é acesso de administrador a servidores, é acesso de administrador a serviços de computação em nuvem", disse Stykas à publicação Wired, referindo-se ao nível máximo de permissões em um sistema computacional. "Para empresas de criptomoedas, são chaves, é acesso a blockchains — é um acesso absurdo."
Stykas, diretor de tecnologia da empresa de cibersegurança Kumio, conta que acessou múltiplos servidores de comando e controle utilizados pelos hackers, mas pediu para que os detalhes de como conseguiu esse acesso não fossem divulgados devido à sensibilidade das informações. Em alguns casos, ele observou que os próprios hackers pareciam ter se infectado com seu próprio código malicioso, o que acabou lhe concedendo acesso também às estações de trabalho dos invasores. "Tenho acesso ao canal de comunicação deles, tenho acesso aos servidores de bate-papo, tenho acesso a muita coisa", afirmou o pesquisador, acrescentando ter visto cerca de 5 terabytes de dados no total.
Enquanto investigava esses sistemas ao longo de meses, Stykas identificava possíveis vítimas — analisando chaves de desenvolvedor, código-fonte e outros elementos — e notificava as empresas afetadas. Como parte de sua apresentação na Black Hat, ele está tornando públicos os nomes de cerca de uma dúzia das empresas impactadas, sendo principalmente aquelas que trataram adequadamente a situação ou corrigiram as possíveis violações. Entre elas estão o Hospital Infantil de Boston (que abrigava um vasto banco de dados de informações de saúde de americanos relacionado à pandemia de Covid-19), a grande empresa japonesa de tecnologia AEON Smart Technology, a fabricante chinesa de celulares Oppo, as corretoras de criptomoedas Coinbase e Uniswap Labs, o Conselho Superior Judiciário da Itália, uma subsidiária do banco saudita Al Rajhi Bank, e a Digitaal Vlaanderen, órgão do governo flamengo na Bélgica.
Diversas empresas e organizações citadas neste artigo não responderam aos pedidos de comentário sobre os incidentes. A Equipe de Resposta a Emergências Computacionais do Japão afirmou que confirmou as descobertas do pesquisador e trabalhou com a AEON Smart Technology na "remediação" do problema.
"Podemos confirmar que fomos notificados deste incidente em 3 de março de 2026 pelo Centro de Cibersegurança da Bélgica, após a divulgação do pesquisador", declarou um porta-voz do governo flamengo. "Como parte da resposta, a estação de trabalho afetada foi isolada e as credenciais potencialmente expostas foram revogadas e substituídas. Com base em nossa investigação, o incidente foi contido e resolvido."
Um porta-voz do Hospital Infantil de Boston informou que o incidente "envolveu um dispositivo pessoal de um antigo prestador de serviços independente" e não os sistemas do hospital. "Após a notificação, nossas equipes de cibersegurança e tecnologia da informação investigaram imediatamente, desativaram todas as credenciais de acesso ativas restantes em poucas horas e não encontraram evidências de acesso não autorizado aos sistemas do Boston Children's", afirmou o porta-voz, acrescentando que os "dados em questão" já estavam publicamente disponíveis.
Enquanto isso, um porta-voz da Coinbase disse que a empresa investigou um prestador de serviços, que estava nos Estados Unidos, e "não encontrou evidências de que ele estivesse localizado na Coreia do Norte nem fosse afiliado ao governo norte-coreano" antes da notificação feita pelo pesquisador. "No entanto, nossos controles de segurança identificaram riscos potenciais na configuração tecnológica dele, sugerindo que ele pode ter terceirizado seu trabalho para terceiros, e encerramos o contrato com o prestador em até 30 dias após a contratação, antes mesmo de receber a denúncia de Vangelis Stykas", declarou o porta-voz, acrescentando que "nenhuma informação sensível foi comprometida e nenhum dado de cliente foi exposto".
Na verdade, embora muitas dessas empresas armazenassem dados altamente sensíveis que os hackers poderiam ter acessado em teoria — além do acervo de dados de saúde do Hospital Infantil de Boston, outra empresa americana tinha amplo acesso a registros criminais de cidadãos dos Estados Unidos, segundo Stykas —, os invasores mantiveram um foco bastante específico em obter acesso a carteiras de criptomoedas, ignorando outros sistemas.
Em quase todos os casos das centenas de empresas invadidas — assim como no grupo maior de mais de mil organizações onde os intrusos norte-coreanos obtiveram ao menos um ponto de apoio —, os hackers usaram uma tática simples e bem documentada: atrair desenvolvedores de software com falsas ofertas de emprego prometendo salários tentadoramente altos. Uma vez que a vítima mordia a isca, o engenheiro era solicitado a baixar um programa como teste de suas habilidades de programação, que instalava silenciosamente um código malicioso em sua máquina. Grupos de hackers norte-coreanos vêm utilizando essa técnica de falsas entrevistas em uma campanha mais ampla conhecida como "Entrevista Contagiante" desde pelo menos 2022, segundo a Microsoft.
Para muitas das organizações afetadas, prestadores de serviços externos aparentemente comprometidos, que frequentemente detinham chaves de desenvolvedor ou tinham acesso a múltiplos sistemas, aumentavam enormemente o potencial alcance de um ataque bem-sucedido. "Vi alguns prestadores que tinham acesso a até 30 empresas", explicou Stykas.
As operações cibernéticas da Coreia do Norte são ao mesmo tempo extensas e fluidas, de acordo com um relatório publicado no ano passado pela empresa de cibersegurança Dtex. Sua estrutura e os operadores dentro dela se adaptam frequentemente para apoiar as prioridades do país, como desenvolvimento econômico e militar, geração de receitas, espionagem e evasão de sanções, concluíram os pesquisadores. O país provavelmente conta com várias centenas de operadores cibernéticos habilidosos, frequentemente treinados desde jovens, além de "vários milhares" de trabalhadores de tecnologia que conseguem empregos remotos fraudulentos em empresas legítimas para gerar dinheiro que pode ser enviado ao regime amplamente sancionado. Tanto os operadores cibernéticos quanto os trabalhadores de tecnologia recebem cotas anuais de ganhos, segundo o relatório da Dtex.
A ideia de que um único grupo de hackers norte-coreanos possa ter comprometido mais de mil organizações por meio de falsas ofertas de emprego não chega a surpreender, dado o alcance de suas campanhas, afirmou Marcus Hutchins, pesquisador de inteligência de ameaças da empresa de cibersegurança Expel, que já acompanhou campanhas semelhantes com listas de vítimas igualmente longas. Hutchins disse que também observou um foco semelhante no roubo de criptomoedas em alguns casos, em detrimento de outros dados sensíveis, mas alertou que isso não deveria trazer muito conforto. "Parece que as equipes tendem a se manter na tarefa de obter carteiras de criptomoedas. Mas existe obviamente o risco de que, se estiverem mantendo acesso persistente a uma corporação, uma das equipes de espionagem poderia se aproveitar desse acesso", disse Hutchins. "Bastaria uma pessoa receber acesso ao sistema e eles poderiam fazer o que quisessem."
Dado o perigo dessas violações — tanto em termos da exposição de dados sensíveis quanto do roubo contínuo de criptomoedas que enriquece o regime norte-coreano —, a verdadeira preocupação não deveria ser necessariamente as empresas que Stykas identificou, mas sim as que ele não identificou. Essas empresas incluem centenas que nunca responderam aos seus alertas, segundo ele, além de outras que são adicionadas à lista todos os dias. "Isso começou como um projeto paralelo, e agora é meu trabalho em tempo integral", disse.
"Eles estão aqui, estão nos invadindo sem parar", afirmou Stykas. "No fim das contas, todo mundo está sendo invadido. A forma como você lida com o fato de ser invadido é o que diferencia uma boa empresa de uma empresa ruim. E vimos muitas empresas ruins."
Fonte: Feed: All Latest
