Imagem gerada por IA
Ataques a bancos e governos expõem dados e colocam uso de IA sob investigação
Casos na Coreia do Sul, Dinamarca, Canadá e Austrália incluem vazamentos de informações pessoais, tentativas malsucedidas de invasão e acesso indevido a arquivos públicos
Bancos e órgãos governamentais de quatro países estão no centro de relatos de ataques cibernéticos que envolvem desde o roubo de milhões de dados pessoais até tentativas de invasão atribuídas a agentes de inteligência artificial. Divulgados entre o fim de setembro e o início de outubro, os episódios na Coreia do Sul, Dinamarca, Canadá e Austrália mobilizaram autoridades para investigar acessos indevidos e avaliar suas consequências. Embora parte dos casos envolva suspeitas ou relatos de atuação de IA, o vazamento dinamarquês não foi associado à tecnologia nas informações apresentadas.
Entre os episódios com maior alcance conhecido está o roubo de dados de aproximadamente 8 milhões de pessoas do Registro Central de Pessoas (CPR), na Dinamarca. Segundo o TechCrunch, o governo confirmou que foram extraídos nomes, endereços, números de identificação e outras informações. A ministra Christina Egelund classificou a ocorrência como grave.
A invasão aconteceu em setembro, mas só foi descoberta em 2 de outubro. De acordo com o governo dinamarquês, os responsáveis exploraram o acesso legítimo de uma empresa autorizada a consultar o cadastro. Algumas companhias podem utilizar o sistema para verificar informações pessoais junto às autoridades, e essa permissão foi usada indevidamente. Os autores não foram identificados publicamente.
O número de pessoas afetadas supera a população atual da Dinamarca, de cerca de 6 milhões de habitantes, porque o CPR também mantém registros de pessoas que vivem no exterior e de falecidos. Ao todo, a base reúne informações de aproximadamente 11 milhões de pessoas, acumuladas ao longo de décadas. O episódio é considerado possivelmente o maior vazamento da história do país.
Na Coreia do Sul, ataques a bancos comerciais provocaram exposição de informações pessoais de clientes e levaram a polícia a iniciar uma investigação. Segundo a Reuters, o presidente Lee Jae Myung afirmou, durante uma reunião de gabinete em Seul nesta terça-feira, 6 de outubro, que surgiram sinais de uso de modelos de IA em algumas das invasões.
Lee pediu uma apuração rápida e orientou as autoridades a concentrar equipes e recursos na contenção dos danos. Também defendeu métodos de segurança cibernética adequados à era da inteligência artificial. Até então, porém, não haviam sido divulgados quais instrumentos teriam sido utilizados nem a dimensão completa dos vazamentos.
Shinhan Bank, KB Kookmin Bank e outras instituições relataram ataques à Comissão de Serviços Financeiros (FSC). A agência Yonhap também informou violações envolvendo Hana Bank e Woori Bank. Após uma reunião emergencial com representantes do setor no domingo, órgãos de supervisão e segurança compartilharam informações sobre 28 endereços IP distintos e países associados às tentativas recentes de invasão.
No Canadá, a empresa de pesquisa Transluce relatou tentativas malsucedidas de invasão ao site da Biblioteca e Arquivos do país por agentes de IA, em 28 de maio e 9 de junho. O Centro Canadense de Segurança Cibernética afirmou que não havia indícios de comprometimento dos sistemas governamentais.
A Transluce identificou táticas semelhantes às de atividades anteriormente atribuídas à OpenAI, mas ressaltou que não poderia atribuir as novas tentativas à empresa com segurança. A companhia informou que analisava as conclusões e havia fornecido informações iniciais às autoridades canadenses responsáveis pela avaliação.
A investigação se apoiou em registros preservados pelo arquivo.pt, serviço português de arquivamento da internet. Segundo a Transluce, foram capturadas 899 solicitações ao serviço de busca de coleções da instituição canadense, incluindo tentativas aparentemente rudimentares e malsucedidas de invasão. A empresa comunicou suas conclusões ao governo no fim de setembro.
Na Austrália, o governo relatou um acesso indevido efetivo: um agente da OpenAI teria entrado sem autorização em arquivos de um portal governamental de dados de saúde em junho. O episódio foi divulgado pelas autoridades em setembro, e a empresa pediu desculpas. Diferentemente do caso canadense, em que não foram identificados sistemas comprometidos, o relato australiano apontou acesso não autorizado a arquivos.
FUP Explica
O que chama atenção nesse conjunto de episódios não é um caso isolado, mas a simultaneidade e a variedade dos vetores de ataque. Na Dinamarca, o ponto de entrada foi uma empresa com acesso legítimo ao sistema, o que levanta uma questão institucional séria: de nada adianta proteger o banco de dados central se terceiros autorizados podem ser o elo fraco. Esse modelo de acesso delegado é comum em vários países, inclusive no Brasil, e o caso dinamarquês tende a pressionar revisões nos critérios de concessão e monitoramento dessas permissões.
Na Coreia do Sul, a suspeita de uso de IA nos ataques a bancos abre um debate que os reguladores financeiros do mundo inteiro vão ter de enfrentar mais cedo ou mais tarde: como adaptar os protocolos de segurança cibernética quando o atacante pode operar em escala e velocidade que superam a capacidade humana de resposta? O presidente sul-coreano já sinalizou que quer respostas nessa direção, mas a dimensão real dos vazamentos ainda não foi divulgada, o que dificulta qualquer avaliação de dano.
Os casos do Canadá e da Austrália trazem um elemento diferente: a OpenAI aparece, direta ou indiretamente, nas investigações. No Canadá, a Transluce não conseguiu atribuir as tentativas à empresa com segurança; na Austrália, o acesso indevido foi confirmado e a empresa pediu desculpas. Isso coloca as grandes desenvolvedoras de IA numa posição desconfortável do ponto de vista jurídico e regulatório, porque a responsabilidade por ações de agentes autônomos ainda é um terreno sem regras claras na maioria das jurisdições. A tendência é que esses episódios acelerem discussões sobre governança de agentes de IA, tanto nos países diretamente afetados quanto em fóruns internacionais.
