Uma operação criminosa transformou um erro clássico de programação — deixar credenciais escritas no código de uma aplicação — numa linha de montagem industrial de acessos a empresas. Segundo o relatório de threat intelligence divulgado pela Anthropic em setembro de 2026, um operador ligado ao ecossistema ShinyHunters montou uma infraestrutura distribuída que descarregou, descompilou e analisou 1,8 milhões de aplicações Android distintas à procura de chaves de API, tokens e outras credenciais embutidas. As credenciais validadas alimentaram, depois, intrusões reais em organizações, incluindo um caso com mais de um terabyte de dados exfiltrados.
Resposta rápida: Segundo a Anthropic, um operador francófono associado ao ShinyHunters usou dez máquinas na nuvem para descarregar 1,8 milhões de APKs de várias lojas, descompilá-los e procurar segredos com a ferramenta TruffleHog. Os achados verificados eram encaminhados em tempo real para um grupo de Telegram organizado por mais de 100 tipos de fonte e serviram de acesso inicial à maioria das brechas confirmadas atribuídas ao operador. Se a sua organização publica aplicações móveis, assuma que o binário será analisado em massa: faça varrimento de segredos nas builds de produção, rode credenciais expostas e substitua chaves estáticas por tokens de curta duração.
O que foi efetivamente documentado
O relatório cobre um período de oito meses. A empresa afirma que, entre dezembro de 2025 e agosto de 2026, registou várias formas de utilização abusiva de inteligência artificial, incluindo operações ciber e de influência, vigilância, fraudes, desenvolvimento de armas e destilação de modelos. Nesse intervalo, diz ter interrompido várias atividades ligadas ao coletivo ShinyHunters, conhecido por ataques de roubo de dados em larga escala que habitualmente começam por engenharia social e comprometimento de contas.
O caso dos APKs é atribuído a um único operador. De acordo com o relatório, um operador francófono que usava os pseudónimos MeowSHA, frkoo e blazespider geria uma pipeline distribuída de recolha de credenciais numa frota de dez máquinas AWS EC2. Essa infraestrutura descarregou em massa 1,8 milhões de APKs Android distintos a partir de várias lojas de aplicações, descompilou-os e procurou segredos embutidos com o TruffleHog — uma ferramenta legítima, amplamente usada por equipas de segurança para detetar credenciais em código.
O detalhe que mostra a maturidade da operação está na distribuição dos resultados. Os achados verificados eram encaminhados em tempo real para um grupo de Telegram organizado em mais de 100 tipos de fonte. Em paralelo, um recoletor de endereços de e-mail de organizações no GitHub alimentava um segundo fluxo de Personal Access Tokens roubados. Segundo a Anthropic, foram estas duas pipelines de credenciais que forneceram os acessos iniciais para a maior parte das brechas confirmadas associadas ao operador.
A cadeia de ataque, passo a passo
| Fase | O que acontecia |
|---|---|
| 1. Recolha | Descarga massiva de APKs de múltiplas lojas de aplicações, distribuída por dez workers em nuvem |
| 2. Descompilação | Extração e reconstrução do código das 1,8 milhões de aplicações |
| 3. Varrimento | Deteção de segredos embutidos com TruffleHog |
| 4. Triagem | Encaminhamento em tempo real dos achados verificados para Telegram, por tipo de fonte |
| 5. Exploração | Uso das credenciais como acesso inicial a ambientes empresariais e nuvem |
| 6. Monetização | Exfiltração, extorsão e venda de dados |
A Anthropic descreve a utilização de IA nestas intrusões como algo próximo de vibe hacking. Segundo o relatório, os operadores davam objetivos gerais ao modelo — como usar uma credencial contra uma entidade ou obter dados de um conjunto amplo de alvos — deixando-o avaliar o ambiente, escrever e executar scripts, produzir resumos e repetir o processo até concluir a tarefa. A mudança relevante não é técnica: é de escala e de cadência.
De uma chave esquecida a um terabyte de dados
Encontrar um segredo num APK é apenas o primeiro movimento. O relatório indica que, em várias intrusões, chaves de API de IA pertencentes aos alvos foram roubadas a partir de fornecedores de software empresarial, e que uma dessas chaves foi usada durante cerca de três semanas para ataques secundários, que incluíram o comprometimento de uma cadeia de retalho francesa e a sondagem de uma plataforma de identidade Web3.
Noutros casos, o impacto foi mais profundo. Num comprometimento de um fornecedor tecnológico, os operadores exfiltraram mais de um terabyte de dados, incluindo centenas de milhares de identificadores nacionais e milhões de registos de cartões de pagamento, colocando depois o material roubado num site público. A BleepingComputer, citando o mesmo relatório, refere ainda a intrusão num fornecedor de software como serviço com roubo de dados de cerca de 200 clientes a jusante, e indica que, com apoio de IA, um agente suspeito de pertencer ao ShinyHunters levou cerca de 34 horas a extrair dados de autenticação e a obter mais de 2100 conjuntos de tokens do Azure AD ligados a mais de 40 tenants empresariais da Microsoft. Numa empresa de energia, os operadores chegaram a alegar que conseguiam controlar remotamente a corrente de carregamento de carregadores de veículos elétricos instalados em casa de clientes.
Elementos técnicos divulgados
O relatório não publica uma lista formal de indicadores de comprometimento, mas descreve artefactos e falhas operacionais úteis para equipas de deteção. A disciplina de segurança operacional dos operadores foi descrita como irregular: o responsável pela pipeline em EC2 expôs o próprio IP de staging, vários tokens de bots de Telegram, um proxy Squid com credenciais embutidas e pelo menos um envio para um site público de pastes feito diretamente de dentro do ambiente de uma vítima.
| Elemento | Detalhe |
|---|---|
| Pseudónimos | MeowSHA, frkoo, blazespider |
| Infraestrutura | Dez workers AWS EC2; proxy Squid com credenciais embutidas |
| Ferramenta de varrimento | TruffleHog sobre código descompilado |
| Canal de distribuição | Grupo de Telegram com mais de 100 categorias por tipo de fonte |
| Domínio associado | policenationale[.]cc |
Sobre esse domínio, há uma nuance importante. A Anthropic refere que foi registado um domínio que imitava a polícia nacional francesa, policenationale[.]cc, embora considere que servia de imagem de marca para a loja criminosa e não como isco de phishing. De acordo com a BleepingComputer, essa loja vendia registos de cartões de pagamento, informação completa de titulares e um mapa interativo de endereços de vítimas.
A empresa afirma ter banido as contas associadas, implementado medidas para detetar e travar futuros abusos pelos mesmos agentes e contactado autoridades governamentais, parceiros da indústria e vítimas para remediação. O mesmo relatório descreve também tentativas de abuso do modelo por grupos ligados à Rússia e à China no mesmo período. Vale notar que as atribuições refletem a análise da própria empresa sobre atividade observada na sua plataforma.
O problema de fundo não é novo — a escala é
Credenciais embutidas em aplicações móveis são um problema conhecido e medido pela comunidade académica. Um estudo publicado nas atas CEUR analisou 6165 ficheiros APK descarregados da Google Play Store com análise estática em MobSF, examinando depois a secção de «segredos» com o Trufflehog, e concluiu haver uma prevalência preocupante de credenciais embutidas, com uma parte significativa das aplicações a incluir informação sensível como chaves de API e tokens de autenticação. A diferença, agora, é que a mesma técnica passou de amostras de milhares para catálogos quase completos e com verificação automatizada dos achados.
Mitigações concretas para equipas de desenvolvimento
- Integrar varrimento de segredos no pipeline de CI/CD e, sobretudo, correr essas ferramentas sobre o artefacto final (
.apkou.aab), não apenas sobre o repositório. - Partir do princípio de que a ofuscação não protege segredos: qualquer valor que chegue ao dispositivo é extraível.
- Substituir chaves estáticas de longa duração por tokens de curta duração emitidos por um backend autenticado.
- Rodar e revogar credenciais já publicadas em versões antigas da aplicação — continuam acessíveis em lojas e repositórios de APKs de terceiros.
- Aplicar privilégio mínimo a chaves de cloud, contas de serviço e Personal Access Tokens de repositórios, restringindo âmbito e origem.
- Auditar SDKs e integrações de terceiros incluídos na aplicação, verificando o que acedem e o que expõem.
- Monitorizar utilização anómala de chaves de API — incluindo chaves de serviços de IA — e alertar sobre geografias e volumes fora do padrão.
Porque é que isto importa em Portugal
Este caso encaixa nas tendências já sinalizadas pelo regulador nacional. No seu relatório de cibersegurança, o CNCS apontou como tendências emergentes o aumento dos ataques a infraestruturas em nuvem e a fornecedores de serviços digitais, a intensificação da ameaça dos infostealers e da comercialização de credenciais, bem como o uso ofensivo de ferramentas de inteligência artificial generativa. A operação descrita combina exatamente esses três vetores.
Para as organizações abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de credenciais, o controlo de acessos e a segurança da cadeia de fornecimento deixaram de ser boas práticas opcionais: são requisitos de gestão de risco sujeitos a supervisão, com obrigação de notificação de incidentes significativos ao CNCS/CERT.PT. E se as credenciais expostas derem acesso a dados pessoais — como sucedeu nos casos com identificadores nacionais e dados de cartões —, aplica-se também o dever de notificação à CNPD e, quando houver risco elevado, aos titulares, nos termos do RGPD.
Para PME que subcontratam o desenvolvimento das suas aplicações, a lição prática é contratual: exigir ao fornecedor evidência de varrimento de segredos antes de cada publicação e um processo documentado de rotação de chaves. Para os cidadãos, o risco é indireto mas real — os dados expostos nestas intrusões alimentam campanhas de phishing e fraude com cartões muito mais credíveis.
Perguntas frequentes
O que é um segredo embutido numa aplicação Android?
É qualquer credencial escrita diretamente no código ou nos recursos da aplicação: chaves de API, tokens de autenticação, palavras-passe de bases de dados ou credenciais de armazenamento em nuvem. Como o APK é distribuído publicamente, qualquer pessoa o pode descarregar, descompilar e extrair esses valores.
A minha aplicação corre risco mesmo sendo pouco conhecida?
Sim. A operação descrita analisou 1,8 milhões de APKs de forma indiscriminada, o que significa que não é necessário ser um alvo escolhido. Basta que a aplicação esteja disponível numa loja e contenha uma credencial válida.
Como verifico se a minha organização tem credenciais expostas?
Correndo ferramentas de deteção de segredos sobre as builds de produção já publicadas, incluindo versões antigas, e revendo registos de utilização das chaves de cloud, de repositórios e de serviços de IA à procura de acessos anómalos. Qualquer credencial encontrada deve ser considerada comprometida e rodada.
Se houver comprometimento, a quem tenho de comunicar?
Entidades abrangidas pelo Regime Jurídico da Cibersegurança devem notificar incidentes significativos ao CNCS/CERT.PT nos prazos legais. Havendo violação de dados pessoais, acresce a notificação à CNPD e, em caso de risco elevado, a comunicação aos titulares afetados.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Anthropic no seu relatório de threat intelligence de setembro de 2026, em reportagem da BleepingComputer, em investigação académica publicada nas atas CEUR e em publicações do CNCS.