Hackers russos usaram ferramenta de IA da Anthropic para automatizar ciberataques contra Ucrânia e Europa

Porque é importante

É a primeira descrição pública detalhada do uso em larga escala de uma IA comercial de ponta para automatizar ciberoperações atribuídas a um Estado. O caso mostra como a IA pode comprimir e industrializar a cadeia de ataque — da pesquisa de alvos à infraestrutura de phishing, da modificação de malware à exfiltração de dados — com intervenção humana mínima, levantando um desafio de segurança e de política sobre ferramentas de IA de uso dual exploradas por atores alinhados com o Estado.

O que aconteceu

A Anthropic publicou um relatório a documentar o uso da sua ferramenta de IA Claude Code por parte do grupo cibercriminoso GTG-20006, que os investigadores associam ao grupo de ciberespionagem russo Midnight Blizzard. De acordo com a empresa, o grupo usou fluxos de trabalho baseados em IA para automatizar grande parte das suas operações: desenvolvimento de software, aquisição de infraestrutura, criação de domínios e alojamento, envio de mensagens de phishing e monitorização de canais de comando e controlo.

Entre dezembro de 2025 e agosto de 2026 foram identificadas mais de 20 organizações alvo em diferentes fases dos ataques. A maioria dos alvos estava concentrada na Ucrânia e na Europa, incluindo ministérios, agências de defesa e inteligência, embaixadas, missões diplomáticas, centros de análise e empresas do complexo militar-industrial. Houve também alvos excecionais no Médio Oriente e em agências marítimas governamentais asiáticas, bem como um organismo do Sudeste Asiático ligado ao transporte marítimo e um organismo estatal de tecnologia do Norte de África.

Os temas centrais dos ataques foram a Ucrânia e os desenvolvedores de tecnologias de drones militares e as suas cadeias de fornecimento. Os hackers terão roubado caixas de correio eletrónico de pelo menos dois fabricantes de componentes para drones e analisado software de visão computacional de um dos sistemas durante vários dias para reconstruir a sua arquitetura e identificar fornecedores.

Além das técnicas tradicionais, o grupo comprometeu pelo menos três fornecedores de Wi-Fi de hotéis, alterando registos DNS para redirecionar os dispositivos dos hóspedes para servidores próprios e distribuir malware para Windows, Android e iOS. O grupo obteve também acesso a contas de WhatsApp de vítimas, descarregando conversas em ucraniano e russo — entre os alvos estavam pelo menos dois antigos altos funcionários ucranianos. Um dos operadores do grupo, identificado pelo nickname JackPoterz, é um hacker de língua russa cujos métodos, segundo os investigadores, são compatíveis com a especificidade dos serviços de informações russos.

Como o descrevem as fontes ucranianas

As três fontes que originam esta síntese são órgãos de comunicação ucranianos (UA, em língua ucraniana), que centram a cobertura na ameaça às instituições estatais e à base industrial de defesa da Ucrânia, em especial aos fabricantes de drones e respetivos fornecedores. A imprensa ucraniana destaca igualmente o comprometimento de conversas de WhatsApp de antigos altos funcionários do país e apresenta como moldura explicativa principal a atribuição aos serviços secretos russos.

Contexto

Midnight Blizzard, também conhecida como APT29 ou Cozy Bear, é uma formação russa de ciberespionagem alinhada com o Estado e anteriormente associada a intrusões contra governos e organizações em vários países. Atores de ameaça já tinham recorrido anteriormente a automação e scripting; o relatório da Anthropic descreve este caso como um salto qualitativo, em que a IA passa a orquestrar partes significativas da operação em vez de apenas assistir um operador humano. Durante a guerra na Ucrânia, o desenvolvimento de drones militares e a sua cadeia de fornecimento têm sido uma área documentada de interesse dos serviços de informações russos.