Pesquisa expõe ferramenta de hacking com IA 'ARTEX' usada em violações de bancos sul-coreanos
A empresa de threat intelligence Hunt.io identificou servidores expostos do ARTEX, um framework chinês de pentest autônomo que orquestra ataques usando múltiplos modelos de IA (incluindo DeepSeek e Claude Code como orquestrador), ligado a violações em sete instituições financeiras sul-coreanas. Entre os artefatos encontrados estavam contas de teste contra serviços de depósito em dinheiro, exploração de falhas de IDOR em serviços de empréstimo, sessões de saque de uma exchange de criptomoedas e automação de login com bypass de CAPTCHA — indícios claros de preparação para fraude financeira e account takeover, não apenas exposição de dados.
Pesquisadores da Hunt.io rastrearam a infraestrutura do ARTEX, um console de pentest ofensivo autônomo distribuído sob licença AGPL-3.0, que automatiza ataques combinando vários modelos de linguagem: DeepSeek v4.1 Flash como motor principal, GLM 5.3 e Grok 4.6 como alternativas, e uma instância do Claude Code (versão 2.1.221, iniciada 510 vezes desde 4 de agosto) atuando como orquestrador central das tarefas. O console foi associado a violações em sete instituições financeiras sul-coreanas entre o fim de setembro e o início de outubro de 2026, expondo dados de 66 a 67 mil pessoas e cerca de 2.200 empresas, incluindo informações pessoais, de emprego, renda e empréstimos.
Tecnicamente, o ARTEX usa proxies customizados ("shims") para traduzir chamadas entre ferramentas de orquestração ocidentais e backends de modelos chineses, contornando restrições de uso, e conta com 19 automações ("skills") para reconhecimento de alvos, injeção web, bypass de WAF e testes de autenticação — tarefas que antes exigiam um operador humano especializado e que a IA generativa agora executa em escala. O ponto mais relevante para fraude está nos artefatos encontrados em um servidor intermediário em Hong Kong: contas de teste de API voltadas a serviços de depósito em dinheiro, ferramentas para explorar falhas de IDOR (insecure direct object reference) contra serviços coreanos de empréstimo e consulta de crédito, arquivos ligados a sessões administrativas e de saque de uma exchange de criptomoedas, e rotinas de automação de login que contornam CAPTCHA.
Esse conjunto de evidências sugere uma fase de preparação para fraude financeira direcionada, e não apenas coleta de dados para revenda: os testes contra serviços de crédito e empréstimo e a automação de login remetem a tentativas de abertura de linhas de crédito fraudulentas e de account takeover automatizado contra plataformas financeiras. A combinação de IA generativa com ferramentas ofensivas reduz drasticamente a barreira técnica para atacantes replicarem esse tipo de operação contra múltiplas instituições ao mesmo tempo, o que torna o caso um sinal de alerta sobre o uso de agentes de IA como multiplicador de força em fraude em escala.
Instituições financeiras devem priorizar gestão de superfície de ataque exposta na internet, correção rápida de falhas de IDOR em APIs de consulta de crédito e empréstimo, e controles de login resistentes a automação (MFA forte, análise comportamental, device fingerprinting) em vez de depender só de CAPTCHA. Pessoas cujos dados de emprego, renda ou empréstimo foram expostos devem monitorar a abertura de crédito em seu nome e ficar atentas a contatos de engenharia social (vishing/phishing) que usem esses dados reais para parecer legítimos.