Premieră în Europa: atac cibernetic dus la capăt de oameni și AI

Ce secvență clasică a ransomware-ului relevă analiza traseului de atac?

Prima oară în Europa: ciberatac hibrid dus la îndeplinire prin colaborare om-AI

Un incident de securitate cibernetică fără precedent în spațiul european a fost documentat recent de specialiștii Bitdefender.

Operațiunea, atribuită unei entități legate de dezvoltatorii ransomware-ului 3AM, a lovit o rețea de școli din Regatul Unit. Obiectivul cuprindea o infrastructură formată din 47 de sisteme, distribuite pe mai multe domenii separate. Acest episod marchează prima dată în care se confirmă oficial implicarea inteligenței artificiale în execuția directă a unui atac cibernetic pe continentul european.

Analiza traseului de atac relevă o secvență clasică a operațiunilor de tip ransomware. Agressorii au început prin extragerea datelor de autentificare din serverele de backup, apoi au instaurat conturi de administrator neautorizate. Ulterior, au conectat mai multe domenii între ele, au sustras informații confidențiale, au încercat să dezactiveze soluțiile de securitate și, în final, au criptat sistemele țintă.

Aspectul care diferențiază acest caz de celelalte atacuri constă în modul de împărțire a sarcinilor. Certaine acțiuni au fost efectuate de un operator uman, în timp ce altele prezintă un tipar specific agenților AI. Acești agenți executau comenzi, interpretau rezultatele și ajustau strategia până la reușita operațiunii.

Cercetătorii au identificat mai multe semnale care, luate împreună, susțin ipoteza utilizării agenților AI. Printre indicii se numără erori tipice ale comenzilor generate de modele de inteligență artificială, precum și ritmul specific al operațiunilor. S-a observat o separare temporală: deciziile majore erau însoțite de pauze de câteva minute, caracteristice intervenției umane. În opoziție, încercările de corectare a pașilor eșuați se repetau la intervale scurte, între 40 și 100 de secunde, indiferent de complexitatea ajustării. Exemplul cel mai elocuent a fost procesul de conectare a domeniilor separate ale școlilor.

Această etapă a implicat configurări repetitive, unde erorile erau urmate de corectări și noi încercări, într-un ciclu perfect compatibil cu modul de funcționare al unui agent AI.

Pe planul acțiunilor tehnice, agresorii au sustras credențialele din serverele de backup și au creat două conturi de administrator neautorizate. Numele acestor conturi au fost alese strategic, pentru a se integra natural în lista existentă de conturi ale unei școli.

Care sunt detaliile pe planul acțiunilor tehnice?

Încercarea de a elimina soluția de securitate de pe stațiile de lucru a fost, însă, blocată de mecanisme de protecție împotriva modificărilor neautorizate. În data de 19 septembrie, aproximativ 37 de sisteme au fost supuse procesului de criptare. De asemenea, în timpul atacului, au fost șterse și copiile de siguranță ale sistemelor afectate.

Nouitatea acestui caz nu rezidă în viteza de execuție sau în tehnici de atac inovatoare, ci în modul în care AI-ul a fost integrat în activitățile operaționale ale agresorilor. Reducerea costurilor și eliminarea necesității de competențe tehnice suplimentare fac ca acest model să fie ușor de replicat de alte grupări. Bitdefender estimează că atacurile hibride, unde operatorii umani coordonează agenții AI, vor deveni tot mai frecvente până în anul 2027. Totodată, utilizarea agenților AI lasă urme digitale care pot ajuta la detectarea lor.

Comenzile repetitive, scripturile numerotate și fișierele de test lăsate în infrastructură oferă echipelor de securitate mai multe oportunități de a identifica activitatea malefică.

Concluziile privind implicarea AI se bazează exclusiv pe comportamentul observat în rețeaua compromisă.

Cercetătorii nu au avut acces direct la sistemul agresorilor, motiv pentru care nu pot stabili cu certitudine ce model AI a fost folosit sau dacă un operator uman a transferat manual comenzile între instrumentul AI și infrastructura vizată.

Această cercetare continuă seria de studii ale Bitdefender privind utilizarea inteligenței artificiale în ciberatacuri.

Anterior, în martie 2026, fusese analizat codul generat cu AI în cazul APT36, iar în august 2026 s-a studiat dezvoltarea asistată de AI în cazul SilkParasite.

Noul caz semnalează o extindere a rolului AI, trecând de la simpla creare a instrumentelor de atac la executarea efectivă a etapelor operaționale ale atacului însuși.