Taiwan

Um ataque cibernético inédito, utilizando inteligência artificial autônoma, foi realizado contra Taiwan, comprometendo 85 contas governamentais e roubando mais de 2.500 registros de pessoal. O ataque, que durou quatro dias, empregou oito modelos de IA de código aberto para realizar reconhecimento e intrusão de forma independente, adaptando-se a bloqueios e explorando vulnerabilidades. A operação foi identificada pela empresa israelense Dream, que encontrou um arquivo online contendo 1.395 arquivos relacionados ao ataque. Os hackers disfarçaram a invasão como um teste de prontidão cibernética, utilizando agentes de IA para buscar novas vulnerabilidades e pontos de acesso. A documentação recuperada continha notas em chinês simplificado, sugerindo uma possível ligação com hackers da China continental. Embora o Ministério Digital de Taiwan tenha se recusado a comentar, o ataque destaca a crescente complexidade e sofisticação das ameaças cibernéticas, especialmente em um contexto geopolítico tenso. Especialistas alertam que a integração de IA em ataques cibernéticos deve ser uma preocupação central para governos em todo o mundo.

Um estudante universitário de 23 anos em Taiwan foi preso por interferir no sistema de comunicação TETRA, utilizado pela rede ferroviária de alta velocidade do país (THSR). Em 5 de abril, ele paralisou quatro trens por 48 minutos ao transmitir um sinal de ‘Alarme Geral’ usando rádios manuais e equipamentos de rádio definidos por software (SDR). O THSR, que opera uma linha de 350 km com trens que alcançam até 300 km/h, transporta anualmente 81,8 milhões de passageiros, sendo um serviço vital e subsidiado pelo governo. O estudante, identificado pelo sobrenome Lin, interceptou e decodificou parâmetros do sistema TETRA, que não foram atualizados em 19 anos, permitindo que ele burlasse sete camadas de verificação. A polícia prendeu Lin após rastrear o sinal de rádio não autorizado até sua residência, onde foram encontrados 11 rádios manuais, um SDR e um laptop. Ele enfrenta acusações sob o Artigo 184 da Lei Penal, com pena de até 10 anos de prisão, e atualmente está sob fiança de NT$100.000. A defesa alega que a transmissão foi acidental, mas as autoridades consideram essa justificativa pouco convincente.

Um novo grupo de ameaças cibernéticas, denominado UAT-10362, foi identificado em campanhas de spear-phishing direcionadas a organizações não governamentais (ONGs) e universidades em Taiwan. O grupo utiliza um malware sofisticado chamado LucidRook, que incorpora um interpretador Lua e bibliotecas compiladas em Rust dentro de uma biblioteca de link dinâmico (DLL). A Cisco Talos, responsável pela descoberta, relatou que o ataque foi iniciado em outubro de 2025, utilizando arquivos compactados RAR ou 7-Zip para entregar um dropper chamado LucidPawn. Este dropper, por sua vez, executa um arquivo de disfarce e inicia o LucidRook. Existem duas cadeias de infecção distintas: uma baseada em arquivos de atalho do Windows (LNK) e outra envolvendo um executável que se apresenta como um programa antivírus da Trend Micro. O LucidRook é projetado para coletar informações do sistema e exfiltrá-las para um servidor externo, além de receber e executar cargas úteis em bytecode Lua. O uso de técnicas de geofencing permite que o malware opere apenas em ambientes de língua chinesa tradicional, limitando sua execução a Taiwan. A complexidade e a modularidade do malware indicam que UAT-10362 é um ator de ameaças altamente capacitado, com um foco em operações furtivas e específicas para suas vítimas.

Em 2025, a China intensificou seus ataques cibernéticos contra Taiwan, com um aumento de 6% em relação ao ano anterior, totalizando uma média de 2,63 milhões de ataques diários, conforme relatório do National Security Bureau (NSB). Os setores mais afetados incluem a infraestrutura de energia, que sofreu um aumento de 10 vezes nos ciberataques, e os sistemas de resgate de emergência hospitalar, com um crescimento de 54%. O NSB aponta que esses ataques visam comprometer a infraestrutura crítica de Taiwan e interromper funções governamentais e sociais. Além disso, os ataques são direcionados, sugerindo uma tática de “neutralização na primeira hora do conflito”. Embora a maioria dos ataques tenha sido bloqueada, alguns conseguiram comprometer entidades de inteligência. O relatório também destaca que 57% dos ataques focaram em falhas de hardware e software, enquanto 21% foram ataques de negação de serviço. A escalada dos ciberataques reflete uma disputa histórica entre China e Taiwan, com implicações políticas e sociais significativas.

Em 2025, a infraestrutura de Taiwan enfrentou uma média alarmante de 2,63 milhões de ciberataques diários originados da China, conforme relatado pelo Escritório de Segurança Nacional de Taiwan. Este número representa um aumento de 6% em relação ao ano anterior e um impressionante crescimento de 113% desde 2023, quando Taiwan começou a monitorar esses incidentes. Os ataques, que frequentemente coincidem com eventos militares e políticos significativos, são vistos como parte da estratégia de ‘guerra híbrida’ da China, que visa desestabilizar a ilha. Grupos de hackers associados à China, como Volt Typhoon e Brass Typhoon, estão envolvidos em atividades de espionagem e roubo de dados que atendem aos interesses nacionais chineses. O relatório destaca que os ataques têm como alvos principais hospitais, bancos e agências governamentais, indicando uma tentativa deliberada de comprometer a infraestrutura crítica de Taiwan. Apesar das alegações, a China não respondeu oficialmente ao relatório e geralmente nega envolvimento em ciberataques, acusando os Estados Unidos de serem os verdadeiros ‘bullys cibernéticos’ do mundo.

Um ator de ameaça persistente avançada (APT) de língua chinesa, identificado como UAT-7237, tem atacado entidades de infraestrutura web em Taiwan desde 2022, utilizando ferramentas de código aberto personalizadas para garantir acesso prolongado a ambientes de alto valor. A Cisco Talos atribui a atividade a este grupo, que é considerado um subgrupo de UAT-5918, conhecido por atacar infraestrutura crítica desde 2023. Os ataques se caracterizam pelo uso de um carregador de shellcode chamado SoundBill, que decodifica e lança cargas secundárias como o Cobalt Strike. Diferente de UAT-5918, que rapidamente implanta web shells, UAT-7237 utiliza o cliente VPN SoftEther para manter o acesso e posteriormente acessa os sistemas via RDP. Os atacantes exploram falhas de segurança conhecidas em servidores desatualizados, realizando reconhecimento inicial para determinar o valor do alvo. Além disso, ferramentas como JuicyPotato e Mimikatz são usadas para escalonamento de privilégios e extração de credenciais. A configuração do cliente VPN revela que os operadores são proficientes em chinês simplificado, indicando uma possível origem geográfica. Este cenário destaca a necessidade de vigilância constante e atualizações de segurança em sistemas expostos à internet.