Um único invasor usou agentes de IA para extrair registros de chamadas de emergência que abrangiam sete distritos de Taipei, segundo pesquisadores da Unidade de Pesquisa de Ameaças da Acronis na semana passada.
Os agentes também encontraram uma plataforma do Corpo de Bombeiros de Taipei que expunha, sem exigir autenticação, dados de pacientes de 2018, incluindo leituras de eletrocardiogramas e vídeos de ambulâncias.
Os pesquisadores têm alto grau de confiança de que o invasor é uma única pessoa que mora na cidade de Hualien, em Taiwan. Ele direcionou os agentes a centenas de organizações em pelo menos 11 países, entre elas serviços de emergência, bancos, universidades e sistemas militares. Os agentes coletaram dados ou acessaram sistemas de cerca de 10 organizações em Taiwan, no México e na Tailândia.
As evidências vieram do próprio servidor do invasor, que inicialmente parecia ser um sistema de desenvolvimento mal configurado. Na verdade, era a plataforma usada nas operações de ataque e continha mais de 90.000 arquivos, incluindo conversas dos agentes, histórico de comandos, ferramentas de invasão, credenciais e dados das vítimas.
Os agentes não se comunicavam entre si. Por isso, o invasor copiava manualmente a resposta de um agente e a inseria em outro. Em geral, os modelos comerciais de IA se recusaram a ajudá-lo a realizar ataques. Assim, os agentes usados nos ataques funcionavam quase inteiramente com modelos “desinibidos”, executados localmente e sem as salvaguardas de segurança originais.
O que os agentes conseguiram acessar
Taiwan foi alvo de muito mais ataques do que qualquer outro país, segundo a análise técnica dos pesquisadores. Os danos confirmados mais graves no país envolveram dados de serviços de emergência.
Os registros de despacho foram obtidos no sistema de uma cidade que atende chamadas para o número 119, usado em Taiwan para acionar os serviços de bombeiros e ambulâncias. Os agentes extraíram os dados pela API do sistema. Os registros incluem horários das ocorrências, tipos de resposta, situação dos casos e endereços em nível de rua. São registros de ocorrências, não dados de localização de ambulâncias em tempo real.
O resumo dos pesquisadores afirma que invasões a serviços de emergência e universidades levaram ao roubo de dados médicos e pessoais. No entanto, o relato detalhado sobre a plataforma de pacientes de Taipei diz apenas que os registros ficaram expostos.
Os agentes também atacaram cinco outros alvos ligados aos serviços de emergência de Taiwan:
| Alvo | O que os agentes fizeram | Resultado |
|---|---|---|
| Fornecedor de tecnologia para despacho de bombeiros | Acessaram o painel de administração do banco de dados com credenciais padrão de superusuário. Uma tentativa de usar um web shell por meio de uma CVE conhecida falhou. | Acesso a pelo menos 18 tabelas do banco de dados |
| Sistema de informações de gestão de emergências | Encontraram uma chave AES-256 hardcoded no código JavaScript do lado do cliente, capaz de expor o conteúdo de cookies de sessão, incluindo a identidade de um administrador. | Nenhuma invasão confirmada |
| Centro nacional de resposta a desastres | Uma ferramenta de varredura apontou uma falha crítica de execução remota de código no Apache. | A falha não existia |
| Portal de autenticação única da agência nacional de bombeiros | Tentaram adivinhar credenciais por força bruta. | Nenhum acesso confirmado |
| Sistemas dos corpos de bombeiros de cinco cidades | Fizeram varreduras para identificar os programas usados. | Nenhuma invasão confirmada |
O relatório não informa se as organizações afetadas ou as autoridades de Taiwan foram notificadas, nem se os dados expostos ainda podem ser acessados.
Fora dos serviços de emergência, os agentes extraíram dados de uma tabela de contas de uma financeira taiwanesa por meio de injeção de SQL. Na Tailândia, coletaram dados de três universidades da mesma forma, depois de selecionar 489 alvos potenciais entre 45 instituições.
No México, obtiveram cerca de 206.800 registros de telefones residenciais com nomes e endereços. Para isso, usaram estatísticas governamentais, listas de códigos postais e dados da autoridade de telecomunicações.
Outras 15 organizações foram atacadas, mas não há confirmação de invasão. Em pelo menos oito países, os alvos foram apenas submetidos a varreduras ou preparados para ataques que ainda não haviam sido executados quando os pesquisadores analisaram a operação.
Os pesquisadores acompanharam a operação durante 12 dias. Uma das conversas registradas mostra o invasor trabalhando em 25 de julho.
Como a IA foi usada e onde falhou
A estrutura, chamada BOSSAI, tinha 12 agentes de IA, dos quais nove estavam em uso. Alguns criavam e mantinham os servidores e as ferramentas do invasor; outros faziam varreduras em alvos e conduziam ataques.
Os modelos comerciais em nuvem foram usados principalmente para construir a infraestrutura, com o Grok como principal responsável por essa tarefa. Quando o invasor pediu diretamente que realizassem ataques, Grok e MiniMax M3 se recusaram e exigiram uma comprovação por escrito de que o trabalho estava autorizado. Os pesquisadores afirmam que não é possível saber se uma carta de autorização falsa teria mudado a resposta.
O Grok abriu uma exceção ao consertar um script de prova de conceito que não funcionava. Em seguida, o invasor entregou o script a um agente de ataque. Ele também redirecionou os agentes de programação Claude Code e Codex para um modelo desinibido, embora eles tenham trabalhado principalmente na infraestrutura. O Cursor, outro agente de programação, atacou um site taiwanês de serviços de emergência enquanto operava com um modelo desse tipo.
Os modelos desinibidos eram versões do DeepSeek, GLM e Qwen.
Os agentes também cometeram erros. Uma ferramenta de varredura inventou CVEs, e mais da metade das vulnerabilidades classificadas como de gravidade alta ou crítica eram falsos positivos ou haviam sido classificadas incorretamente. O principal agente de ataque também relatou resultados que não tinham ocorrido.
Quem estava por trás da operação
A atribuição feita pela Acronis se baseia em erros cometidos pelo invasor ao tentar esconder sua identidade, combinados com informações disponíveis publicamente. Ele reutilizou uma mesma identidade em seus negócios legítimos e nos servidores de ataque, incluindo um perfil no GitHub, um logotipo, o nome de uma chave SSH e um endereço de e-mail.
O endereço IP residencial do invasor apareceu durante uma sessão SSH em uma das conversas dele com o Grok.
A motivação é menos clara. Alguns ataques contra alvos governamentais, de emergência e militares pareciam obra de grupos de hackers apoiados por governos; outros se assemelhavam a crimes cibernéticos comuns. Os pesquisadores acreditam que o objetivo mais provável era obter dinheiro, mas não sabem se o invasor trabalha para alguém.
O que conteve os agentes
Segundo os pesquisadores, a maior parte do que os agentes encontraram eram dados que já estavam mal protegidos: uma porta de acesso a dados médicos aberta desde 2018, registros de chamadas de emergência disponíveis em uma API acessível pela internet, uma financeira com 16 endpoints vulneráveis a injeção de SQL e universidades que usavam bancos de dados Oracle sem os patches necessários.
Os agentes falharam quando havia autenticação, quando barreiras de pagamento exigiam uma sessão válida e quando os endpoints tinham filtros adequados. A IA tornou mais barato encontrar e alcançar muitos alvos de uma só vez, mas não conseguiu superar as defesas que funcionavam.
Nove endereços IP e nove domínios da infraestrutura do invasor aparecem na lista de indicadores no fim da análise. Nenhum deles está marcado como ativo ou inativo, e a maioria não vem acompanhada de informações sobre sua finalidade.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...