Dois anos infiltrado na rotina dos hackers norte-coreanos
Durante quase dois anos, o pesquisador de segurança Vangelis Stykas, CTO da empresa de cibersegurança Kumio, acompanhou de dentro as operações de um grupo de hackers ligados à Coreia do Norte. O trabalho, apresentado em detalhes na conferência Black Hat, em Las Vegas, revelou a dimensão global das atividades da quadrilha e expôs um cenário muito mais amplo e persistente do que se imaginava.
Ao longo de 22 meses de investigação contínua, Stykas conseguiu algo raro: acesso direto aos servidores de comando e controle utilizados pelos criminosos. A partir dessa infiltração, ele mapeou 1.640 empresas em 57 países que, de alguma forma, foram impactadas pelas ações do grupo. Segundo o pesquisador, entre 700 e 800 dessas organizações sofreram invasões consideradas realmente graves, com potencial de prejuízos significativos e exposição sensível de dados e sistemas.
O ponto de virada da investigação foi, ironicamente, um erro dos próprios hackers. Em determinado momento, integrantes do grupo acabaram se infectando com o malware que eles mesmos utilizavam contra as vítimas. Essa falha abriu uma porta que permitiu a Stykas observar, em tempo real, a infraestrutura, os fluxos de comunicação e até a rotina diária dos atacantes. “Tenho acesso ao Slack deles, tenho acesso ao Discord deles, tenho acesso a muitas coisas”, relatou o pesquisador, explicando que conseguiu coletar cerca de 5 terabytes de dados ao longo da operação.
Esse conjunto massivo de informações permitiu não apenas identificar alvos, mas também compreender táticas, ferramentas, horários de atividade, prioridades estratégicas e até o nível de organização interna do grupo. Segundo Stykas, o volume de dados é tão grande que a análise completa ainda está em andamento, o que significa que a lista de empresas afetadas continua a crescer com o tempo.
Entre as organizações atingidas, há nomes de peso em diferentes setores, como saúde, finanças, tecnologia e órgãos públicos. Na apresentação, Stykas citou publicamente cerca de uma dezena de vítimas confirmadas, entre elas o Boston Children’s Hospital, a empresa japonesa de tecnologia AEON Smart Technology, a fabricante de celulares Oppo, as plataformas de criptomoedas Coinbase e Uniswap Labs, o Conselho Supremo da Magistratura da Itália, uma subsidiária do banco saudita Al Rajhi Bank e a entidade governamental belga Digitaal Vlaanderen.
As reações das vítimas ajudam a dimensionar tanto o alcance quanto a gravidade da campanha. Um porta-voz do governo belga confirmou que o incidente foi notificado em 3 de março de 2026, indicando que a descoberta dos acessos indevidos pode ter ocorrido bem depois da infiltração inicial. Ele afirmou que a estação de trabalho comprometida foi isolada e que todas as credenciais expostas foram revogadas, numa tentativa de conter qualquer possibilidade de movimento lateral ou novo ponto de entrada na rede.
O Boston Children’s Hospital, por sua vez, destacou que o caso não envolveu diretamente os sistemas internos da instituição. Segundo o hospital, o incidente estava ligado ao dispositivo pessoal de um ex-prestador de serviços, e não houve qualquer evidência de acesso não autorizado à infraestrutura crítica de saúde. Ainda assim, o episódio evidencia como cadeias de terceiros, prestadores e ex-contratados se tornaram vias de entrada cada vez mais exploradas por grupos avançados de ameaça.
Uma das táticas mais recorrentes observadas por Stykas no trabalho de campo foi o uso de falsas ofertas de emprego voltadas a desenvolvedores de software. A abordagem é relativamente simples, mas altamente eficaz: os criminosos entram em contato com profissionais de tecnologia, apresentam propostas atraentes e, como parte do processo seletivo, solicitam a execução de um suposto teste técnico. O arquivo enviado para avaliação, no entanto, traz embutido um malware que, uma vez executado, compromete silenciosamente a máquina do alvo.
Esse tipo de engenharia social se aproveita de um contexto marcado por forte demanda por profissionais de TI, trabalho remoto crescente e processos seletivos muitas vezes conduzidos inteiramente online. Ao atacar desenvolvedores, os hackers miram pessoas que costumam ter acesso privilegiado a repositórios de código, infraestruturas em nuvem, chaves de API e sistemas críticos – ou seja, alvos de alto valor para qualquer operação de espionagem ou roubo financeiro.
Nas campanhas analisadas, a prioridade dos atacantes ficou clara: o principal objetivo era acessar carteiras e infraestruturas de criptomoedas. De acordo com Stykas, os hackers frequentemente ignoravam outros sistemas aos quais tinham potencial de acesso, concentrando seus esforços em credenciais, chaves privadas, hot wallets e pontos que lhes permitissem movimentar ou desviar ativos digitais. Esse foco é consistente com a estratégia atribuída a grupos norte-coreanos nos últimos anos, em que o cibercrime se tornou uma importante fonte de financiamento para o regime.
Ainda assim, o pesquisador faz um alerta: o fato de o interesse imediato estar nas criptomoedas não elimina o risco de espionagem. A presença persistente em redes corporativas, com acesso privilegiado a contas e sistemas, é um ativo valioso que pode ser reaproveitado por outras equipes do mesmo ecossistema de ameaças. Marcus Hutchins, pesquisador de inteligência de ameaças da empresa Expel, apontou que a descoberta de Stykas não chega a ser surpreendente, mas confirma o potencial de uso dessas invasões como base para operações de espionagem mais amplas e de longo prazo.
Outro ponto relevante revelado pela investigação é a escala e a continuidade da campanha. O trabalho de Stykas começou como um projeto paralelo, conduzido em períodos livres. Com o passar dos meses e o crescimento da base de dados, a iniciativa acabou se transformando em sua principal ocupação. Novas empresas são adicionadas à lista praticamente todos os dias, mostrando que não se trata de uma onda de ataques pontual, mas de uma operação contínua, estruturada e em constante expansão. “Eles estão aqui, nos hackeando sem parar”, resumiu o pesquisador.
O caso também evidencia uma tendência clara: grupos estatalmente apoiados vêm atuando cada vez mais como verdadeiras “empresas do crime”, com divisão de tarefas, canais internos de comunicação, utilização de ferramentas colaborativas e rotinas de trabalho que se assemelham ao ambiente corporativo legítimo. O acesso de Stykas ao Slack, ao Discord e a outros sistemas usados pelos hackers oferece um retrato incômodo: por trás dos ataques há pessoas que seguem agendas, reportam resultados, compartilham scripts e ajustam estratégias em tempo real.
Do ponto de vista das empresas, os achados levantam questões críticas sobre maturidade em segurança, especialmente em áreas como gestão de credenciais, monitoramento de endpoints, segurança de desenvolvedores e análise de comportamento anômalo. Muitas das vítimas identificadas atuam em setores que tradicionalmente exigem alto nível de proteção – saúde, finanças, governo -, mas ainda assim foram comprometidas, em alguns casos por meio de algo aparentemente simples como o notebook pessoal de um ex-contratado ou o processo de teste técnico de um candidato.
A investigação também reforça a necessidade de ampliar o foco da segurança além da infraestrutura central e dos sistemas “óbvios”. Desenvolvedores, fornecedores, parceiros, consultores e ex-colaboradores formam uma superfície de ataque extensa e, muitas vezes, subestimada. Grupos avançados, como os observados por Stykas, sabem disso e exploram cada brecha na cadeia de confiança. Testes de código, ferramentas de desenvolvimento, repositórios privados, ambientes de staging e até canais internos de comunicação podem se tornar pontos de intrusão.
Para organizações que lidam com criptomoedas, ativos financeiros digitais ou dados altamente sensíveis, o recado é contundente: apenas controles tradicionais, como firewalls e antivírus, não são suficientes frente a adversários bem financiados e altamente motivados. É necessário combinar monitoramento contínuo, segmentação de redes, uso rigoroso de autenticação multifator, políticas claras de uso de dispositivos pessoais e um forte programa de conscientização que aborde especificamente golpes de engenharia social direcionados a perfis técnicos.
Outro aspecto importante é a resposta a incidentes. O exemplo do governo belga, que isolou rapidamente a estação de trabalho afetada e revogou as credenciais comprometidas, ilustra boas práticas básicas, mas essenciais. Ter planos de resposta bem definidos, com fluxos claros de comunicação interna, equipes treinadas e procedimentos de contenção e investigação, faz diferença na capacidade de limitar danos em situações em que um grupo avançado já obteve algum tipo de acesso.
A longo prazo, casos como o relatado por Stykas indicam que a linha entre cibercrime “puro” e ciberespionagem estatal tende a ficar cada vez mais difusa. Operações voltadas inicialmente ao roubo de criptomoedas podem servir, paralelamente, para mapear redes, coletar credenciais, identificar alvos estratégicos e acumular acesso persistente que pode ser repassado ou reutilizado por outras equipes, com objetivos políticos, militares ou de inteligência.
Para o ecossistema de segurança, o estudo de 22 meses conduzido pelo pesquisador é também uma fonte valiosa de indicadores técnicos, padrões de comportamento e lições sobre como esses grupos operam em escala global. A análise dos 5 terabytes de dados coletados ainda deve render novas descobertas e correlações, ajudando empresas e governos a refinar suas estratégias de defesa. Ao mesmo tempo, o caso serve como um lembrete constante de que, enquanto os atacantes profissionalizam suas operações, a proteção também precisa se tornar mais estratégica, integrada e permanentemente atualizada.