O que aconteceu
Em 7 de outubro de 2026, a CrowdStrike divulgou uma campanha contra várias organizações financeiras sul-coreanas, do fim de setembro ao início de outubro, com base em históricos de sessão do Claude Code, arquivos de memória e configuração do ARTEX encontrados em diretórios abertos nos servidores dos atacantes.
O ARTEX é um agente de pentest automatizado publicado no GitHub por um desenvolvedor chinês neste ano; não tem modelo próprio e se conecta a LLMs externos. Aqui usou DeepSeek v4.1-flash como backend principal, com GLM-5.3 e Grok 4.6 em sessões separadas do Claude Code. Foram invadidos o serviço de consulta de empréstimos para corretores de um banco e o sistema móvel de trabalho de funcionários de outro. O atacante chegou a pedir ao Claude sugestões de grupos no Telegram que vendem dados coreanos. A CrowdStrike avalia com confiança moderada que o ator é falante de chinês e motivado financeiramente. O presidente Lee Jae Myung mencionou sinais de uso de modelos de IA em reunião de gabinete em 6 de outubro. O desenvolvedor do ARTEX tornou o projeto closed-source depois.
Por que importa
É o mesmo padrão visto em outras campanhas: um harness público ligado a uma API de modelo barata. Como o atacante deixou seus próprios registros abertos, o fluxo de um ataque dirigido por agente ficou visível em detalhe. Mesmo com o projeto fechado, derivados em inglês e coreano já circularam.
O que fazer agora
- Priorize a exposição de portais auxiliares (corretores, parceiros, apps móveis de funcionários).
- Monitore uso anômalo de ferramentas de coding agents a partir de IPs e contas não corporativas.
- Trate cifras de escala do incidente como variáveis entre veículos — a fonte aqui não fixa um número oficial de vítimas.