Por anos, hackers discretos da Coreia do Norte e trabalhadores de TI envolvidos em golpes infiltraram empresas, roubaram segredos corporativos e desviaram bilhões de dólares em criptomoedas para ajudar a financiar o regime totalitário e seus programas de armas. Agora, um pesquisador de segurança que passou quase dois anos dentro dos sistemas ligados a um desses grupos norte-coreanos está soando o alarme sobre o quanto a mira em funcionários e prestadores de serviço individuais tem sido eficaz e abrangente para comprometer organizações no mundo todo.
Desde que o pesquisador grego de cibersegurança Vangelis Stykas obteve acesso aos sistemas norte-coreanos há 22 meses, ele afirma ter encontrado evidências de que 1.640 empresas em 57 países foram impactadas pelas operações de hacking do país. Entre esses casos, Stykas detalhará hoje, na conferência de segurança Black Hat, em Las Vegas, que cerca de 700 a 800 das organizações afetadas sofreram intrusões “realmente danosas”.
“É acesso à empresa, é acesso root aos servidores, é acesso root à AWS”, diz o pesquisador, referindo-se à Amazon Web Services e ao termo “root” como o mais alto nível de permissões em um sistema computacional. “Para empresas de cripto, são chaves, é acesso à blockchain. É um acesso absurdo.”
Stykas, CTO da empresa de cibersegurança Kumio, afirma que acessou vários servidores de comando e controle usados pelos hackers, embora tenha pedido que os detalhes de como obteve esse acesso não fossem revelados, devido à sensibilidade da informação. Em alguns casos, ele observa, os próprios hackers pareciam ter sido infectados pelo seu próprio malware, o que acabou lhe dando acesso também às estações de trabalho do grupo. “Tenho acesso ao Slack deles, ao Discord deles, a muita coisa”, diz Stykas, acrescentando que viu cerca de 5 terabytes de dados no total.
Ao investigar esses sistemas ao longo de meses, Stykas identificou possíveis vítimas ao analisar chaves de desenvolvedor, código-fonte e outros elementos, e afirma ter comunicado os incidentes às organizações afetadas. Como parte de sua apresentação na Black Hat, ele vai citar publicamente cerca de uma dúzia das empresas impactadas. Segundo ele, são principalmente aquelas que lidaram bem com as divulgações e/ou corrigiram possíveis compromissos.
Entre elas estão o Boston Children’s Hospital, que mantinha um vasto banco de dados sobre Covid-19 com dados pessoais de saúde de americanos, a grande empresa japonesa de tecnologia AEON Smart Technology, a fabricante chinesa de celulares Oppo, as empresas de criptomoedas Coinbase e Uniswap Labs, o Conselho Judiciário Supremo da Itália, uma subsidiária do banco saudita Al Rajhi Bank e a Digitaal Vlaanderen, vinculada ao governo flamengo, na Bélgica.
Várias empresas e organizações citadas neste artigo não responderam ao pedido de comentário sobre os incidentes. A equipe japonesa de resposta a emergências cibernéticas informou que confirmou as descobertas do pesquisador de segurança e trabalhou com a AEON Smart Technology em ações de “remediação”.
“Podemos confirmar que fomos notificados desse incidente em 3 de março de 2026 pelo Centro de Cibersegurança da Bélgica (CCB), após a divulgação do pesquisador”, disse um porta-voz do governo flamengo. “Como parte dessa resposta, a estação de trabalho afetada foi isolada e as credenciais e os acessos potencialmente expostos foram revogados e rotacionados. Com base em nossa investigação, o incidente foi contido e corrigido.”
Um porta-voz do Boston Children’s Hospital afirmou que o incidente “envolveu o dispositivo pessoal de um ex-prestador de serviço independente” e não os sistemas do hospital. “Assim que fomos notificados, nossas equipes de cibersegurança e TI investigaram imediatamente, desativaram em poucas horas quaisquer credenciais de acesso ainda ativas e não encontraram evidências de acesso não autorizado aos sistemas do Boston Children’s”, disse o porta-voz, acrescentando que os “dados em questão” já estavam disponíveis publicamente.
Já um porta-voz da Coinbase afirmou que a empresa investigou um prestador de serviço que, segundo apurou, estava nos Estados Unidos, e “não encontrou evidências de que ele estivesse localizado na Coreia do Norte ou de que fosse afiliado ao governo da RPDC” antes mesmo de a informação ser reportada pelo pesquisador, que usa RPDC para se referir à República Popular Democrática da Coreia. “No entanto, nossos controles de segurança identificaram riscos potenciais na configuração tecnológica dele, sugerindo que ele pode ter terceirizado seu trabalho para um terceiro, e encerramos o contrato em até 30 dias após a contratação, antes de recebermos uma dica de Vangelis Stykas”, disse o porta-voz. Ele acrescentou que “nenhuma informação sensível foi comprometida e nenhum dado de cliente foi exposto”.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...