Pesquisador grego invadiu hackers da Coreia do Norte: 1.640 empresas em 57 países foram comprometidas

Por quase dois anos, um único pesquisador grego viveu dentro da infraestrutura de uma das operações de hacking mais prolíficas patrocinadas por um Estado. Ele não invadiu usando uma vulnerabilidade sofisticada de dia zero – os próprios hackers norte-coreanos infectaram seus próprios computadores com o próprio malware, dando a Vangelis Stykas um lugar na primeira fila para uma campanha global de violações em escala impressionante.

Na conferência de segurança Black Hat em Las Vegas, em agosto de 2026, Stykas – CTO da empresa de segurança cibernética Kumio – apresentou o relato público mais detalhado já produzido sobre a campanha global de hacking da Coreia do Norte. Aqui está o que ele descobriu.

A escala: 1.640 empresas em 57 países

Ao longo de 22 meses, Stykas analisou aproximadamente 5 terabytes de dados extraídos de servidores de comando e controle norte-coreanos . As evidências apontaram para 1.640 organizações comprometidas em 57 países .

Nem todas as violações foram iguais. Stykas estimou que 700 a 800 dessas vítimas sofreram o que ele descreveu como invasões "realmente prejudiciais" . Nesses casos graves, os invasores obtiveram:

• Acesso root a servidores corporativos
• Controle total de ambientes Amazon Web Services (AWS)
• Exfiltração de chaves criptográficas mestre, incluindo chaves privadas de carteiras de criptomoedas

Vítimas nomeadas: criptomoedas, saúde e eletrônicos de consumo

Stykas nomeou publicamente cerca de uma dúzia de organizações que lidaram bem com o processo de divulgação ou que já haviam descoberto a violação de forma independente . Entre elas:

• Coinbase e Uniswap Labs (criptomoedas/finanças)
• Oppo (fabricante chinesa de smartphones)
• Boston Children's Hospital (saúde)
• Conselho Superior da Magistratura da Itália
• AEON Smart Technology (Japão)

A campanha foi ampla, atingindo empresas de tecnologia, instituições financeiras, provedores de saúde e órgãos governamentais em dezenas de países .

O vetor de ataque: entrevistas de emprego falsas

O principal método de acesso inicial foi uma campanha de engenharia social que Stykas identificou como "Entrevista Contagiosa" . Hackers norte-coreanos se passavam por recrutadores corporativos em redes profissionais como o LinkedIn. Eles miravam desenvolvedores de software com ofertas de emprego tentadoras e, durante entrevistas falsas, enganavam as vítimas para que baixassem testes de codificação, PDFs ou outros arquivos infectados com malware .

Uma vez que o dispositivo de um funcionário ou contratado era comprometido, os invasores se moviam para a rede corporativa. Em alguns casos, profissionais de TI norte-coreanos também se infiltravam diretamente nas empresas por meio de emprego remoto fraudulento .

Como Stykas entrou – e ficou

Stykas ganhou acesso não por uma invasão sofisticada, mas porque os hackers norte-coreanos acidentalmente infectaram seus próprios computadores com o próprio malware . Essa falha de segurança operacional deu a Stykas uma posição dentro dos servidores de comando e controle deles. A partir daí, ele acessou seus canais internos do Slack e Discord, vasculhou dados roubados e extraiu chaves de desenvolvimento, código-fonte e comunicações internas .

Ele passou 22 meses monitorando silenciosamente as operações deles sem ser detectado .

O que Stykas apresentou na Black Hat 2026

Na Black Hat, Stykas revelou :

• O escopo completo de 1.640 organizações vítimas em 57 países.
• Que os hackers estavam usando cada vez mais ferramentas de IA para escalar suas operações .
• Uma lista parcial de vítimas, incluindo Coinbase, Oppo e Boston Children's Hospital .
• Evidências de que centenas de vítimas sofreram comprometimento severo – acesso root a servidores, controle da AWS e exfiltração de chaves criptográficas .
• Os detalhes da campanha Entrevista Contagiosa como o principal vetor de acesso inicial .

Implicações

As descobertas de Stykas ressaltam uma vulnerabilidade crítica na segurança corporativa moderna: a dependência de contratados remotos e o próprio processo de contratação como uma superfície de ataque. Elas também destacam como grupos de hacking patrocinados por Estados podem ocultar um número impressionante de violações – muito mais do que se sabia anteriormente – por anos.

O fato de um pesquisador individual ter conseguido infiltrar e monitorar o aparato de hacking de uma nação por quase dois anos também sugere lacunas significativas de segurança operacional dentro das unidades cibernéticas norte-coreanas .