Coreia do Norte: Cibercriminosos roubam US$ 400 milhões em cripto com IA

Cibercriminosos ligados à Coreia do Norte movimentaram mais de US$ 400 milhões (cerca de R$ 2,25 bilhões) em criptomoedas nos últimos 18 meses por meio de uma campanha sofisticada de engenharia social. Batizada de “FaceStealer”, a operação explora ferramentas de inteligência artificial (IA) e gravações clandestinas para enganar profissionais dos setores de criptoativos, Web3 e tecnologia em diversos países. O Federal Bureau of Investigation (FBI) identificou que os ataques começaram com a invasão de contas de aplicativos de mensagem e redes sociais de vítimas anteriores, permitindo que os operadores contatassem novos alvos para propor reuniões virtuais em plataformas falsas que imitam ferramentas conhecidas como Zoom e Microsoft Teams.

O funcionamento da operação FaceStealer

Durante as chamadas de vídeo simuladas, os criminosos utilizavam vídeos gravados ou conteúdos gerados por IA para representar participantes legítimos. Fingindo problemas técnicos de áudio ou conexão, eles enviavam links maliciosos ou instruções para execução de comandos no terminal do computador. Ao seguir as orientações, a vítima instalava softwares maliciosos que capturavam credenciais de acesso, chaves privadas e ativos digitais armazenados na máquina. A mesma infraestrutura e grupo de ameaça também miram desenvolvedores de software de código aberto e mantenedores de bibliotecas digitais, com o objetivo de inserir códigos maliciosos em cadeias de suprimentos de software para atingir um volume massivo de usuários.

Escala e estratégias do grupo criminoso

A análise da empresa de segurança Artic Wolf Labs sobre o grupo, identificado pelas autoridades norte-americanas como parte do braço de cibercrime financeiro do governo da Coreia do Norte e rastreado sob nomes como “BlueNoroff”, “APT38” e “Spphire Sleet”, revelou que a escala dessas operações cresceu expressivamente. A campanha alcançou centenas de alvos corporativos de alto nível em dezenas de países. Além do roubo direto de carteiras de criptomoedas, os cibercriminosos adaptaram a estratégia para comprometer repositórios de projetos e ferramentas de desenvolvimento populares, utilizando falsas entrevistas de emprego ou tarefas técnicas para induzir engenheiros a clonarem acervos digitais comprometidos.

Ação internacional contra redes de cibercrime

Em paralelo, uma força-tarefa internacional de segurança pública desarticulou servidores e redes de distribuição de softwares maliciosos utilizados para invadir computadores e aplicar golpes financeiros. A ação conjunta entre policiais de diversos países e empresas privadas de tecnologia neutralizou ferramentas digitais de alto impacto e recolheu milhões de credenciais de acesso. A ofensiva atingiu esquemas operados no formato de serviços para o cibercrime, que permitiam o aluguel de infraestruturas para fraudes em larga escala. Autoridades como o Escritório Federal de Polícia Criminal da Alemanha (BKA), a Agência da União Europeia para a Cooperação Policial (Europol) e o Departamento de Justiça dos Estados Unidos divulgaram comunicados oficiais sobre o bloqueio de centenas de servidores e endereços de internet. Mais de seis milhões de credenciais de acesso foram resgatadas.

Recomendações de segurança e próximos passos

Especialistas reforçam que a prevenção depende de uma mudança drástica de comportamento na rotina digital de profissionais técnicos, recomendando jamais executar scripts fornecidos por desconhecidos ou validar códigos sem o devido isolamento. Autoridades internacionais e agências de inteligência reforçam que qualquer suspeita de invasão deve ser relatada imediatamente aos órgãos competentes, com a adoção de protocolos de segurança como revogação de sessões ativas e troca imediata de credenciais. Para mitigar danos, agências europeias disponibilizaram ferramentas públicas de verificação para que cidadãos e empresas consultem se seus e-mails constam nas bases de dados apreendidas. A cooperação entre agências governamentais e equipes de resposta a incidentes continua para notificar provedores e proprietários de sites cujos sistemas foram utilizados indevidamente pelos criminosos.