Dois anos na cola dos hackers norte-coreanos: 1,6 mil empresas expostas
Durante quase dois anos, o pesquisador de segurança Vangelis Stykas, hoje CTO da empresa de cibersegurança Kumio, viveu uma rotina pouco comum: em vez de apenas reagir a ataques, ele passou a observar, em tempo quase real, o que hackers norte-coreanos faziam dentro da infraestrutura de comando e controle que usavam para atacar o mundo todo. O resultado dessa investigação, apresentada na conferência Black Hat em Las Vegas, foi a identificação de nada menos que 1.640 empresas comprometidas em 57 países, com algo entre 700 e 800 vítimas tendo sofrido danos considerados realmente graves.
A virada de jogo aconteceu quando os próprios hackers acabaram infectados pelo malware que utilizavam contra as vítimas. A partir desse deslize, Stykas conseguiu uma janela privilegiada para o funcionamento interno do grupo. Segundo ele, essa brecha deu acesso não apenas aos servidores de comando e controle, mas também às ferramentas de comunicação que os criminosos usavam para coordenar ataques e compartilhar dados roubados.
“Tenho acesso ao Slack deles, tenho acesso ao Discord deles, tenho acesso a muitas coisas”, relatou Stykas em sua apresentação. Ao longo dos 22 meses de monitoramento, o pesquisador acumulou cerca de 5 terabytes de informações, incluindo registros de ataque, listas de alvos, dados técnicos de infraestrutura, evidências de movimentação lateral dentro de empresas e informações extraídas de máquinas comprometidas.
Entre as organizações afetadas, aparecem alvos de setores altamente sensíveis: hospitais, instituições financeiras, empresas de tecnologia, criptoempresas e órgãos governamentais. Stykas chegou a citar publicamente, como exemplos, o Boston Children’s Hospital, a japonesa AEON Smart Technology, a fabricante de celulares Oppo, as plataformas de criptomoedas Coinbase e Uniswap Labs, o Conselho Supremo da Magistratura da Itália, uma subsidiária do banco saudita Al Rajhi Bank e a Digitaal Vlaanderen, ligada ao governo da Bélgica.
O governo belga confirmou ter sido notificado do incidente em 3 de março de 2026. De acordo com o porta-voz oficial, a estação de trabalho comprometida foi rapidamente isolada, e todas as credenciais que poderiam ter sido expostas foram revogadas. A resposta rápida ajudou a conter a propagação do ataque e a limitar a possibilidade de uso dos acessos pelos invasores.
O Boston Children’s Hospital, por sua vez, esclareceu que o caso não envolveu diretamente a infraestrutura hospitalar. De acordo com a instituição, o incidente foi relacionado ao dispositivo pessoal de um ex-prestador de serviços, sem impacto identificado nos sistemas clínicos ou administrativos. Segundo o hospital, não há evidências de acesso não autorizado aos ambientes internos da organização, o que reforça a importância de políticas rígidas para o uso de dispositivos pessoais conectados a sistemas corporativos sensíveis.
Uma das táticas mais recorrentes observadas na campanha dos hackers norte-coreanos foi o uso de ofertas falsas de emprego direcionadas a desenvolvedores de software. O golpe seguia um roteiro conhecido: o profissional recebia uma proposta atraente, normalmente em nome de uma grande empresa de tecnologia ou de um projeto internacional promissor, e era convidado a baixar um programa de “teste técnico” para demonstrar suas habilidades. Ao executar o arquivo, o desenvolvedor, sem saber, instalava um malware em sua própria máquina, que passava a ser controlada remotamente pelos atacantes.
Esse tipo de abordagem é particularmente perigoso porque explora a confiança e as ambições da vítima. Profissionais experientes, em busca de melhores oportunidades, muitas vezes baixam arquivos de avaliação sem suspeitar que ali possa haver código malicioso. Uma vez dentro do computador do desenvolvedor, os hackers têm caminho aberto para acessar repositórios de código, chaves de API, credenciais de serviços em nuvem e, em alguns casos, a infraestrutura interna das empresas onde essas pessoas trabalham.
O foco dos atacantes, segundo Stykas, permanece concentrado principalmente na obtenção de acesso a carteiras e serviços de criptomoedas. Em diversas situações monitoradas, os invasores ignoravam deliberadamente sistemas corporativos tradicionais para se concentrar apenas em ativos cripto, como wallets, exchanges e plataformas DeFi. Essa prioridade revela um objetivo claro de financiamento ilícito, alinhado com avaliações de que grupos de hackers vinculados à Coreia do Norte estão entre os maiores responsáveis por roubos milionários no ecossistema de criptos.
Apesar desse foco financeiro, o risco de espionagem não pode ser subestimado. Marcus Hutchins, pesquisador de inteligência de ameaças da empresa Expel, que acompanha campanhas semelhantes, comentou que as descobertas de Stykas não são exatamente surpreendentes em termos de modus operandi, mas expõem um ponto crítico: o acesso persistente. Uma vez dentro de redes corporativas e governamentais, mesmo que inicialmente em busca de criptomoedas, o grupo pode repassar ou reaproveitar esses acessos para operações de espionagem mais sofisticadas, conduzidas por outras equipes.
Stykas relatou que o projeto começou quase como uma curiosidade técnica, um esforço paralelo à sua atividade principal. Com o tempo, no entanto, o volume de dados, a gravidade das descobertas e a constância dos ataques transformaram essa iniciativa em um trabalho em tempo integral. Ele afirma que novas empresas continuam sendo identificadas continuamente, o que indica que a campanha não se limitou a um período específico, mas se mantém ativa e em evolução. “Eles estão aqui, nos hackeando sem parar”, resumiu o pesquisador.
Esse cenário ilustra uma mudança importante na dinâmica da cibercriminalidade: campanhas de longo prazo, bem financiadas e planejadas, capazes de atingir alvos em dezenas de países, sem fazer distinção entre setores público e privado. Em vez de ataques pontuais, o que se vê é uma verdadeira “infraestrutura de ataque” em operação contínua, com times especializados em engenharia social, desenvolvimento de malware, movimentação lateral e lavagem dos recursos obtidos.
Para as empresas, a investigação de Stykas funciona como um alerta e um estudo de caso ao mesmo tempo. O uso de ofertas falsas de emprego mostra que, mesmo com firewalls robustos e soluções avançadas de detecção, o elo humano permanece vulnerável. Desenvolvedores e profissionais de TI, que costumam ter privilégios elevados e acesso a repositórios sensíveis, tornam-se alvos preferenciais de campanhas altamente segmentadas.
Nesse contexto, ações de conscientização precisam ir além de mensagens genéricas sobre “não clicar em links suspeitos”. As organizações devem treinar equipes técnicas para reconhecer golpes especificamente voltados a desenvolvedores: testes de código enviados por terceiros, arquivos binários sem verificação de origem, repositórios privados desconhecidos e convites para colaborar em projetos “exclusivos” que exigem a instalação de ferramentas adicionais. A validação de identidade de recrutadores e a verificação independente de oportunidades de emprego também passam a ser medidas fundamentais.
Outro ponto crítico é a gestão de acessos e credenciais. O caso da Digitaal Vlaanderen demonstra a importância de isolar rapidamente máquinas suspeitas e revogar acessos comprometidos. Políticas de privilégio mínimo, autenticação multifator, rotação periódica de senhas e chaves, além de monitoramento de uso anômalo de credenciais, reduzem o potencial de dano quando uma estação de trabalho ou conta de usuário é tomada por invasores.
Organizações que lidam com criptoativos ou que integram cadeias de valor envolvendo ativos digitais precisam de uma camada extra de proteção. Isso inclui segmentar a rede de forma que ambientes de desenvolvimento não tenham acesso direto a carteiras ou sistemas financeiros críticos, manter chaves privadas fora de máquinas de uso geral, adotar carteiras frias para grandes quantias e implementar mecanismos de aprovação múltipla para transações de alto valor.
Governos e instituições de saúde, por outro lado, deveriam encarar esse tipo de campanha como uma questão de segurança nacional e de resiliência social. Hospitais, tribunais, ministérios e agências reguladoras armazenam informações extremamente sensíveis, que vão desde dados clínicos até decisões estratégicas e documentos sigilosos. Mesmo quando o objetivo imediato dos atacantes é financeiro, a existência de backdoors e acessos persistentes nessas redes abre espaço para chantagem, manipulação de dados e espionagem em larga escala.
A investigação também evidencia a necessidade de cooperação internacional entre equipes de resposta a incidentes, autoridades regulatórias e empresas privadas. Quando um pesquisador consegue mapear mais de 1,6 mil vítimas em dezenas de países, fica claro que soluções isoladas não dão conta da complexidade do problema. Compartilhar indicadores de compromisso, táticas usadas pelos atacantes e informações sobre infraestrutura maliciosa é essencial para reduzir o tempo de detecção e resposta.
Por fim, o trabalho de Stykas mostra que a inteligência de ameaças pode – e deve – ser usada de forma proativa. Em vez de apenas reagir a cada nova campanha, é possível infiltrar-se na cadeia de ataque, observar o inimigo, entender seus processos internos e antecipar movimentos. Essa visão de dentro do “laboratório” dos hackers norte-coreanos ajuda a construir defesas mais realistas, alinhadas com o que de fato está acontecendo no submundo digital, e não apenas com cenários teóricos.
Enquanto campanhas como essa continuarem ativas, a principal mensagem para empresas e instituições é clara: ataques persistentes e sofisticados não são uma possibilidade distante, mas uma realidade contínua. Investir em segurança não significa apenas comprar ferramentas, mas repensar processos, treinar pessoas e assumir que, em algum momento, alguém dentro da organização poderá ser enganado. A diferença entre um incidente controlado e uma crise de grandes proporções está, cada vez mais, na velocidade e na qualidade da resposta.