A polícia diz que as ferramentas fizeram o trabalho de um especialista
A divisão de investigação cibernética da Agência Metropolitana de Polícia de Seul informou em 26 de outubro que deteve um homem de 32 anos, identificado apenas como «A», e o encaminhou ao Ministério Público por uma campanha de invasões contra mais de 90 empresas sul-coreanas. A polícia descreve o caso como a primeira invasão em larga escala do país em que se prendem suspeitos que usaram IA generativa.
O grupo roubou cerca de 8,2 milhões de dados pessoais entre setembro do ano passado e este mês, segundo a polícia. Entre as vítimas estavam uma subsidiária de um grande conglomerado, escolas privadas, hospitais, campos de golfe e universidades. Uma empresa de serviços funerários perdeu sozinha 1,22 milhão de registos, e os dados das escolas incluíam menores.
Quarenta dias, sessenta empresas
A polícia afirmou que A começou executando ele mesmo scanners de vulnerabilidades na web. Depois passou a um agente de programação com IA e a um sistema autónomo de teste de intrusão, e com eles invadiu 60 empresas entre 31 de agosto e 13 de outubro — pouco mais de 40 dias.
A estudou artes e educação física e não tem qualificação em informática; disse à polícia que aprendeu a invadir sistemas sozinho, no YouTube e em blogues. Os investigadores acreditam que ainda assim tinha conhecimentos consideráveis da web, e notam que trabalhou em invasões simuladas numa empresa de segurança entre 2019 e 2022.
A extorsão falhou quase por completo
O grupo ameaçava as vítimas com danos à reputação e sanções administrativas caso as fugas se tornassem públicas, e exigiu 360 milhões de wons no total, segundo a polícia. Uma empresa pagou 300 mil wons, cerca de 210 dólares. Quinze empresas comunicaram prejuízos até agora, e a polícia disse que vai avançar com mais acusações relativas a vítimas que não se apresentaram.
Seis cúmplices estão sob investigação sem detenção. A polícia explicou que os recrutados responderam a anúncios no Telegram que ofereciam «trabalho simples ao telefone» e recebiam entre 10 mil e 30 mil wons por chamada. Um homem de 24 anos, identificado como «B», obtinha contas e recrutava outros; os restantes suspeitos têm entre vinte e cinquenta anos.
A polícia construiu a sua própria IA para o caso
A investigação também funcionou no sentido inverso. A polícia disse ter construído uma ferramenta de IA interna para analisar cerca de 530 mil elementos do processo, incluindo registos de chamadas e de contas, o que permitiu a uma única equipa prender sete suspeitos em cerca de quatro meses. O caso abriu em junho após a queixa de uma vítima, a investigação ampla começou em agosto, cinco pessoas foram presas entre julho e setembro, B foi detido no início deste mês e depois A foi identificado.
A polícia afirmou que o sistema autónomo de teste de intrusão usado por A é o mesmo que apareceu numa recente fuga de dados pessoais no setor financeiro sul-coreano, mas que não estabeleceu ligação entre os dois casos.
Oh Gyu-sik, chefe da segunda unidade de investigação de crimes cibernéticos da agência, disse que o crime que explora a IA está a evoluir para um nível que os métodos de investigação existentes dificilmente conseguem enfrentar sozinhos. Um responsável policial foi mais direto: agora até quem não pertence a uma organização profissional de invasões consegue executar ataques em larga escala com ajuda da IA. A polícia pediu às empresas atingidas que não negociem e que denunciem de imediato.
Resta ver se a fuga do setor financeiro será formalmente ligada a este caso e se as empresas vítimas que ainda não comunicaram prejuízos se vão apresentar.
