A polícia on-chain foi invadida. É bastante irônico. Mas não vou me juntar ao coro de «lá vêm os hackers de IA».
Voltemos ao texto original. No comunicado da Chainalysis de 30/10, há apenas uma frase relevante: um invasor externo usou técnicas agentivas ofensivas para entrar nos sistemas e ferramentas internas da empresa. Não diz como entrou, qual vulnerabilidade explorou, como foi a cadeia de ataque nem quem foi o responsável. Usar essa única frase para inventar a história de que «um agente atravessou as defesas de uma empresa de segurança» é fazer propaganda gratuita para o invasor.
Vejamos também o que foi perdido. Os dados acessados eram IDs de usuários da plataforma, nomes, e-mails e etiquetas de função nas organizações — dados que a própria empresa classificou como não sensíveis. Até o momento, não foram encontrados indícios de acesso a dossiês e anotações de casos, transações e resultados de consultas, senhas em texto simples, chaves MFA ou tokens de sessão. Em outras palavras, não vazou quem estava sendo investigado nem para onde o dinheiro estava indo.
Na minha opinião, o ponto principal não é o quão incrível é a IA, mas sim que uma empresa de segurança com um grande número de clientes institucionais teve suas ferramentas internas acessadas por alguém de fora. Não importa se a porta de entrada foi uma pessoa ou um script; a verdadeira questão é quanto se consegue ver depois de entrar. Desta vez, o que foi visto foi a lista de contatos. A Chainalysis deve aos clientes uma explicação sobre o nível de granularidade das permissões em suas ferramentas internas.
Onde posso estar errado: a investigação ainda não terminou. A empresa diz que ainda está verificando os registros de acesso de cada cliente e que divulgará os detalhes mais adiante. A carta também menciona que os ataques impulsionados por IA estão aumentando no setor. Se posteriormente descobrirem que o conteúdo das investigações também foi acessado, ou se realmente vier à tona uma cadeia de ataque automatizada completa, então este texto terá sido brando demais — admito.
Isto é apenas uma observação e não constitui aconselhamento.
Voltemos ao texto original. No comunicado da Chainalysis de 30/10, há apenas uma frase relevante: um invasor externo usou técnicas agentivas ofensivas para entrar nos sistemas e ferramentas internas da empresa. Não diz como entrou, qual vulnerabilidade explorou, como foi a cadeia de ataque nem quem foi o responsável. Usar essa única frase para inventar a história de que «um agente atravessou as defesas de uma empresa de segurança» é fazer propaganda gratuita para o invasor.
Vejamos também o que foi perdido. Os dados acessados eram IDs de usuários da plataforma, nomes, e-mails e etiquetas de função nas organizações — dados que a própria empresa classificou como não sensíveis. Até o momento, não foram encontrados indícios de acesso a dossiês e anotações de casos, transações e resultados de consultas, senhas em texto simples, chaves MFA ou tokens de sessão. Em outras palavras, não vazou quem estava sendo investigado nem para onde o dinheiro estava indo.
Na minha opinião, o ponto principal não é o quão incrível é a IA, mas sim que uma empresa de segurança com um grande número de clientes institucionais teve suas ferramentas internas acessadas por alguém de fora. Não importa se a porta de entrada foi uma pessoa ou um script; a verdadeira questão é quanto se consegue ver depois de entrar. Desta vez, o que foi visto foi a lista de contatos. A Chainalysis deve aos clientes uma explicação sobre o nível de granularidade das permissões em suas ferramentas internas.
Onde posso estar errado: a investigação ainda não terminou. A empresa diz que ainda está verificando os registros de acesso de cada cliente e que divulgará os detalhes mais adiante. A carta também menciona que os ataques impulsionados por IA estão aumentando no setor. Se posteriormente descobrirem que o conteúdo das investigações também foi acessado, ou se realmente vier à tona uma cadeia de ataque automatizada completa, então este texto terá sido brando demais — admito.
Isto é apenas uma observação e não constitui aconselhamento.