A polícia metropolitana de Tóquio deteve um adolescente de 17 anos suspeito de ter lançado um ciberataque massivo contra a cadeia de cafés internet Kaikatsu Club, roubando informações pessoais de aproximadamente 7,25 milhões de utilizadores. O caso ganhou destaque não apenas pela escala da violação, mas pela forma como foi executado, o jovem terá usado o ChatGPT para criar e aperfeiçoar o código malicioso que penetrou nos sistemas da empresa.
O estudante do segundo ano do secundário, residente em Osaka, foi acusado de violar a lei japonesa contra o acesso não autorizado a computadores e de obstrução fraudulenta de negócios. Segundo fontes próximas da investigação citadas pelo The Japan Times, o rapaz terá obtido ilegalmente cerca de 7,25 milhões de conjuntos de informações de membros do Kaikatsu Club através de um programa informático que criou usando o chatbot de inteligência artificial ChatGPT.
O ataque decorreu entre 18 e 20 de janeiro de 2025, quando o adolescente violou o servidor de uma aplicação gerida pela Kaikatsu Frontier, a empresa que opera a cadeia de cafés internet. Durante esse período, terá enviado comandos fraudulentos cerca de 7,24 milhões de vezes para extrair informações de membros. As autoridades acreditam que ele também obstruiu as operações comerciais da empresa ao fazer com que a aplicação suspendesse temporariamente algumas das suas funções.
Um hacker com currículo surpreendente
O que torna este caso particularmente intrigante é o perfil do suspeito. De acordo com reportagens da TBS citadas, o rapaz teria competências suficientemente avançadas para ter ganho prémios em competições de cibersegurança. Este detalhe levanta questões sobre como jovens talentosos podem desviar as suas capacidades técnicas para atividades criminosas, especialmente quando ferramentas de inteligência artificial facilitam esse processo.
Embora o ChatGPT inclua medidas de segurança para recusar pedidos de instruções prejudiciais, os investigadores acreditam que o suspeito encontrou formas de contornar essas restrições. Segundo fontes policiais, o adolescente reformulava as questões técnicas sempre que surgiam erros no seu código de ataque. Cada vez que aparecia uma falha, ele pressionava a IA para “contornar” o problema e gerar versões melhoradas do programa.
Embora os serviços de IA geralmente não gerem conteúdo que possa ser usado para crimes, o estudante terá escondido a sua verdadeira intenção ao fazer as perguntas à inteligência artificial, evitando menções diretas ao ciberataque.
Durante o interrogatório, o adolescente admitiu o crime, afirmando que achava “divertido descobrir vulnerabilidades nos sistemas”. Mas a sua atividade não se limitou ao ataque informático. O jovem também se gabou das suas ações online, publicando o que equivalia a um comentário ao vivo do ataque através das redes sociais, revelando detalhes enquanto a violação decorria.
Esta não foi a primeira vez que o rapaz teve problemas com a justiça. Segundo o Japan Today, ele já tinha sido detido em novembro por alegadamente ter comprado cartas Pokémon online usando informações de cartão de crédito de outra pessoa. A polícia de Tóquio já o tinha sob vigilância quando o ligaram ao ataque contra a Kaikatsu Club.
A Aoki Holdings, empresa-mãe da Kaikatsu Frontier, anunciou em janeiro que cerca de 7,29 milhões de conjuntos de informações privadas de membros do Kaikatsu Club poderiam ter sido comprometidos. Os cafés Kaikatsu Club também oferecem livros de banda desenhada, karaoke e outros serviços, tornando-se destinos populares no Japão.
Até ao momento, não foi confirmado qualquer uso indevido das informações roubadas. No entanto, a violação de dados incluiu nomes e detalhes de transações de membros regulares e provisórios do Kaikatsu Club, bem como de membros do FiT24, uma rede de ginásios fitness também operada pela empresa.
A Kaikatsu Frontier emitiu uma breve declaração reconhecendo a escala da violação e prometendo “trabalhar com total compromisso para prevenir qualquer recorrência”. Imediatamente após a deteção do acesso não autorizado na noite de 18 de janeiro, a empresa tomou medidas para mitigar o impacto, incluindo o reforço das medidas para bloquear comunicações não autorizadas. Foi criada uma força-tarefa dedicada e foram feitas consultas às autoridades policiais e relatórios à Comissão de Proteção de Informações Pessoais.
Este caso rapidamente desencadeou um debate mais amplo no Japão sobre como as ferramentas de inteligência artificial podem acelerar o cibercrime, mesmo nas mãos de menores. É uma tensão entre inovação e uso indevido que as autoridades podem agora ser forçadas a confrontar diretamente.
O adolescente foi acusado ao abrigo da lei japonesa contra acesso informático não autorizado e por obstruir negócios, embora até agora não tenham surgido provas de uso indevido dos dados roubados, como revenda ou divulgação pública.
Este não é um caso isolado no Japão. Já este ano, outros adolescentes japoneses foram detidos por crimes cibernéticos semelhantes envolvendo o uso de ferramentas de IA. Em fevereiro de 2025, três adolescentes entre os 14 e os 16 anos foram presos por alegadamente usar o ChatGPT para criar ferramentas automatizadas que invadiram os sistemas da Rakuten Mobile, gerando cerca de 7,5 milhões de ienes em receitas de criptomoedas através da venda ilegal de eSIMs.
