Grupo de espionagem da Coreia do Norte adota IA em ataques

O grupo de hackers da Coreia do Norte ligado ao serviço de espionagem do país montou um ambiente de inteligência artificial local para automatizar parte de seus ciberataques. A descoberta é da Genians, empresa sul-coreana de segurança, e foi divulgada na segunda-feira.

A Kimsuky, como o grupo é chamado, instalou ferramentas que rodam modelos de linguagem sem depender de serviços externos.

Kimsuky opera seus próprios modelos de linguagem

Os programas identificados foram o Ollama, o GPT4All e o Msty.

Todos servem para executar inteligência artificial diretamente em máquinas próprias, longe dos provedores públicos de nuvem. A escolha pelo processamento local tem um motivo claro, já que ao não enviar informações a serviços externos o grupo reduz o risco de que material sensível ou roubado vaze para provedores que possam rastrear a origem da informação.

A Genians encontrou ainda indícios de outras peças no conjunto.

Entre elas, ferramentas de agentes de IA, programas de transcrição de voz e o Cursor, um assistente de codificação que reforça o quadro de automação.

A combinação aponta para um uso mais amplo da tecnologia.

A análise da empresa sugere que a Kimsuky estuda integrar a inteligência artificial ao desenvolvimento de malware, à análise de dados roubados e à automação de ataques, e os documentos isca também mudaram de cara. O grupo passou a usar IA para criar relatórios de investimento em ativos digitais falsos que imitam documentos financeiros reais, a ponto de dificultar a distinção entre o original e a falsificação.

A Kimsuky opera sob o Bureau de Reconhecimento Geral, o órgão de inteligência militar da Coreia do Norte, e foi sancionada pelo Tesouro dos Estados Unidos em 2023 como unidade de espionagem controlada pelo Estado.

O histórico de ataques dá a dimensão do risco.

Hackers ligados à Coreia do Norte roubaram mais de US$ 2 bilhões em criptomoedas em 2025, segundo dados da Chainalysis, um aumento de 51% na comparação com o ano anterior, com o total acumulado pelo país passando de US$ 6 bilhões.

Os fundos roubados alimentam o programa de armas do Estado, e os ativos digitais viraram, assim, um alvo estratégico.

Ainda assim, a Genians vê o trabalho com a IA ainda em fase de pesquisa.

A empresa não encontrou evidências de que o grupo tenha treinado modelos próprios até o momento, descrevendo o estágio como de aprendizado, com o foco na aquisição de conhecimento e não na produção de modelos.

O que chama atenção é a direção. A mesma infraestrutura usada hoje para criar phishing pode servir, amanhã, para automatizar a análise de dados roubados em escala, em um salto do engano para a automação que muda o ritmo e a abrangência das operações, permitindo ao grupo processar um volume muito maior de alvos do que antes.

Da criação de iscas à automação dos ataques

A tecnologia de recuperação de informações, conhecida como RAG, permite que os modelos busquem conteúdo em documentos selecionados, ajudando o grupo a extrair contas e alvos de materiais comprometidos.

Os programas de transcrição de voz, por sua vez, podem transformar áudios capturados em texto.

Para o mercado de criptomoedas, o alerta é direto. Os ativos digitais seguem entre os alvos preferidos desses grupos, e a dimensão dos roubos em 2025, mesmo sem contar o impacto da inteligência artificial, já posiciona a Coreia do Norte como a maior ameaça do setor.

A adoção de IA adiciona uma camada nova a esse cenário. O mesmo padrão que torna os documentos de phishing mais convincentes pode ser usado para escalar os ataques e tornar a detecção mais difícil.

O país segue sendo o principal suspeito em boa parte dos grandes roubos do setor, e a tecnologia usada para executar os ataques também está evoluindo.

A Kimsuky ainda não treina seus próprios modelos, mas já demonstra o caminho que pretende seguir. O restante do setor de segurança assiste, enquanto o intervalo entre a pesquisa e o uso real encolhe.