As unidades de hackers patrocinadas pelo Estado mais ativas da Coreia do Norte não estão mais confiando apenas em e-mails de phishing básicos e intrusões por força bruta. De acordo com várias empresas de cibersegurança e agências governamentais, grupos ligados a Pyongyang começaram a criar ferramentas ofensivas personalizadas com IA generativa, e o aumento nos ciberataques norte-coreanos com IA já está deixando rastros em incidentes reais na Coreia do Sul e no setor global de tecnologia.
Summary
Principais pontos
- Kimsuky, APT45 e Famous Chollima foram todos documentados usando modelos de IA generativa, incluindo o ChatGPT e o Gemini do Google, para apoiar operações de hacking.
- A Kaspersky descobriu que o Kimsuky usou IA para criar um malware chamado HelloDoor, identificável por comentários de código cheios de emojis e erros gramaticais típicos de máquina.
- O Famous Chollima foi ligado a 47% de todos os incidentes de hacking patrocinados por Estados contra o setor de tecnologia entre abril de 2025 e maio de 2026, segundo a CrowdStrike.
- O Centro Nacional de Segurança Cibernética da Coreia do Sul alertou em junho de 2026 sobre o aumento da “IA agente” capaz de lançar ataques autônomos.
Hackers norte-coreanos adotam IA generativa para ciberataques
A IA generativa tornou-se discretamente parte do kit de ferramentas padrão do aparato de hacking da Coreia do Norte. Pesquisadores de cibersegurança afirmam que Kimsuky e APT45, em particular, foram flagrados usando grandes modelos de linguagem como o ChatGPT e o Gemini do Google não como novidades experimentais, mas como infraestrutura funcional para criar malware, conduzir campanhas de engenharia social e sondar vulnerabilidades de software em um ritmo que nenhuma equipe humana conseguiria igualar.
Essa mudança é importante porque altera a economia do hacking patrocinado por Estados. Tarefas que antes exigiam equipes de desenvolvedores qualificados e dias de testes manuais agora podem ser automatizadas, comprimidas e escaladas com muito menos pessoas envolvidas.
Desenvolvimento de malware personalizado com IA
A Kaspersky relatou em maio de 2026 que o Kimsuky usou um grande modelo de linguagem para ajudar a desenvolver uma variante de malware chamada HelloDoor. O código trazia dois indícios claros de envolvimento de IA: comentários repletos de emojis e padrões gramaticais mais consistentes com texto gerado por máquina do que com o estilo de escrita de um desenvolvedor nativo. Essas peculiaridades deram aos pesquisadores uma impressão digital incomum, porém útil, para rastrear o malware assistido por IA até sua provável origem.
Engenharia social e campanhas de phishing impulsionadas por IA
O uso de IA pelo Kimsuky vai além da escrita de código. Já em setembro de 2025, o grupo teria usado o ChatGPT para forjar documentos falsos de identificação militar sul-coreana, depois usados em ataques de phishing que se passavam por instituições de defesa. O objetivo era simples: enganar alvos para que entregassem credenciais ou clicassem em links maliciosos disfarçados de comunicações oficiais.
O Famous Chollima levou a engenharia social em outra direção. De acordo com um relatório da CrowdStrike, o grupo usou deepfakes gerados por IA e perfis profissionais fabricados para se candidatar a empregos legítimos em tecnologia, obtendo acesso interno que depois serviu a propósitos de espionagem ou roubo dentro das empresas-alvo.
Técnicas e operações específicas com IA por grupos norte-coreanos
Cada grupo parece ter definido sua própria especialidade dentro do movimento mais amplo em direção ao desenvolvimento de malware com IA do Kimsuky e intrusões assistidas por IA. As diferenças de método revelam o quão variadas se tornaram as aplicações de IA generativa dentro do aparato cibernético da Coreia do Norte.
Malware HelloDoor do Kimsuky com assinaturas de IA
O caso HelloDoor continua sendo o exemplo documentado mais claro de criação de malware assistida por IA atribuída ao Kimsuky. As descobertas da Kaspersky sugerem que o grupo recorreu a um modelo de linguagem para a geração real de código, e não apenas para planejamento ou documentação, uma distinção que separa esse incidente de usos anteriores e mais superficiais de chatbots de IA para pesquisa ou tradução.
Prompting recursivo do APT45 para analisar vulnerabilidades de software
O APT45 seguiu uma estratégia marcadamente diferente. A Google Threat Intelligence documentou o grupo enviando milhares de prompts repetitivos para grandes modelos de linguagem em uma técnica que os pesquisadores chamam de prompting recursivo. A abordagem era metódica: analisar vulnerabilidades de software conhecidas e, em seguida, testar sistematicamente se códigos de exploração existentes poderiam realmente funcionar contra essas fraquezas. Esse tipo de consulta repetitiva em grande volume é precisamente o tipo de tarefa que a IA se destaca em automatizar.
Uso extensivo de IA pelo Famous Chollima para deepfakes e falsificação de identidade
As campanhas de infiltração baseadas em deepfakes do Famous Chollima produziram a estatística isolada mais impressionante desta onda de relatos. Dados da CrowdStrike mostram que as operações do grupo foram responsáveis por 47% de todos os incidentes de hacking patrocinados por Estados que tiveram como alvo o setor de tecnologia entre abril de 2025 e maio de 2026, tornando-o, de longe, o ator mais prolífico rastreado nesse período. Essa concentração ressalta por que identidades fabricadas e infiltração via candidaturas de emprego se tornaram uma preocupação tão persistente para gestores de contratação e equipes de segurança em toda a indústria de tecnologia.
Alertas de cibersegurança e impacto estratégico de ataques aprimorados por IA
O desenvolvimento mais consequente pode não ser um incidente específico, mas um alerta sobre para onde essa tendência está caminhando. Em junho de 2026, o Centro Nacional de Segurança Cibernética da Coreia do Sul alertou o público sobre o surgimento do que chamou de “IA agente”, sistemas capazes de executar ciberataques de forma autônoma, sem direção humana contínua. A agência alertou que tais sistemas poderiam teoricamente realizar dezenas de milhares de ações maliciosas por segundo, uma escala simplesmente inalcançável por operação manual.
É por isso que o conceito de ameaças de IA agente atraiu atenção especial de pesquisadores de cibersegurança, que descrevem a IA de forma mais ampla como um “multiplicador de força” para as operações norte-coreanas. Em vez de substituir completamente os hackers humanos, a IA parece permitir que as equipes existentes conduzam campanhas mais amplas com substancialmente menos esforço manual, aumentando efetivamente tanto a velocidade quanto o alcance do hacking patrocinado por Estados sem um aumento proporcional de pessoal.
Alvos recentes na infraestrutura governamental sul-coreana
A Coreia do Sul continua sendo o principal alvo, por razões enraizadas na longa tensão geopolítica na península. O Kimsuky tem visado ativamente a infraestrutura de certificação do governo sul-coreano tão recentemente quanto meados de 2026, segundo pesquisadores de segurança que acompanham a atividade do grupo, mostrando que táticas assistidas por IA estão sendo aplicadas contra sistemas estatais sensíveis em tempo quase real, em vez de em incidentes isolados e pontuais.
Motivações financeiras e de inteligência por trás das operações cibernéticas norte-coreanas
As operações cibernéticas norte-coreanas nunca foram puramente sobre espionagem. Historicamente, elas têm sido tão motivadas por lucro quanto por inteligência, com o Lazarus Group ligado a alguns dos maiores roubos de criptomoedas já registrados. Adicionar capacidades de IA a grupos que já se especializam em cibercrime financeiro levanta uma questão desconfortável para o setor: se a IA pode ajudar esses atores a escrever malware melhor, forjar documentos mais convincentes e fabricar identidades mais críveis, provavelmente também eleva o teto de quanto eles podem roubar e quão rápido podem se mover uma vez dentro de uma rede.
Essa combinação de coleta de inteligência e roubo financeiro, agora amplificada por ferramentas de IA, provavelmente continuará atraindo escrutínio tanto de reguladores sul-coreanos quanto de empresas internacionais de cibersegurança que acompanham a próxima geração de técnicas de intrusão patrocinadas por Estados.
Perguntas frequentes
Como os grupos de hackers norte-coreanos estão usando IA em seus ciberataques?
Grupos como Kimsuky, APT45 e Famous Chollima usam IA generativa para desenvolver malware, analisar vulnerabilidades de software, forjar identidades, criar deepfakes e automatizar partes de suas campanhas de ataque.
O que é “IA agente” e por que ela é uma preocupação?
IA agente refere-se a sistemas capazes de executar ciberataques de forma autônoma em alta velocidade, sem controle humano contínuo, uma capacidade que o Centro Nacional de Segurança Cibernética da Coreia do Sul alertou que poderia teoricamente permitir dezenas de milhares de ações maliciosas por segundo.
Qual grupo de hackers norte-coreano tem sido o mais ativo ao mirar o setor de tecnologia?
O Famous Chollima foi responsável por 47% dos incidentes de hacking patrocinados por Estados que tiveram como alvo o setor de tecnologia entre abril de 2025 e maio de 2026, segundo dados da CrowdStrike.
Quais atividades recentes o Kimsuky realizou usando ferramentas de IA?
O Kimsuky desenvolveu o malware HelloDoor documentado em maio de 2026, forjou identidades militares sul-coreanas falsas usando o ChatGPT para phishing já em setembro de 2025 e mirou a infraestrutura de certificação do governo sul-coreano tão recentemente quanto meados de 2026.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Como os grupos de hackers norte-coreanos estão usando IA em seus ciberataques?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Grupos como Kimsuky, APT45 e Famous Chollima usam IA generativa para desenvolver malware, analisar vulnerabilidades de software, forjar identidades, criar deepfakes e automatizar partes de suas campanhas de ataque.”}},{“@type”:”Question”,”name”:”O que é “IA agente” e por que ela é uma preocupação?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”IA agente refere-se a sistemas capazes de executar ciberataques de forma autônoma em alta velocidade, sem controle humano contínuo, uma capacidade que o Centro Nacional de Segurança Cibernética da Coreia do Sul alertou que poderia teoricamente permitir dezenas de milhares de ações maliciosas por segundo.”}},{“@type”:”Question”,”name”:”Qual grupo de hackers norte-coreano tem sido o mais ativo ao mirar o setor de tecnologia?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”O Famous Chollima foi responsável por 47% dos incidentes de hacking patrocinados por Estados que tiveram como alvo o setor de tecnologia entre abril de 2025 e maio de 2026, segundo dados da CrowdStrike.”}},{“@type”:”Question”,”name”:”Quais atividades recentes o Kimsuky realizou usando ferramentas de IA?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”O Kimsuky desenvolveu o malware HelloDoor documentado em maio de 2026, forjou identidades militares sul-coreanas falsas usando o ChatGPT para phishing já em setembro de 2025 e mirou a infraestrutura de certificação do governo sul-coreano tão recentemente quanto meados de 2026.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
