Şcoli din Marea Britanie au fost vizate de un atac informatic fără precedent în Europa care indică o împărţire a sarcinilor între un operator uman şi agenţi de inteligenţă artificială. Bitdefender estimează că acest model de atac va deveni tot mai frecvent în 2027.

Cercetătorii în securitate informatică de la Bitdefender au depistat în premieră în Europa un atac ransomware care prezintă indicii comportamentale de utilizare a agenţilor de inteligenţă artificială (AI) în etapele de infiltrare şi operare în reţeaua victimei.  

Atacul, atribuit unui afiliat al grupării care dezvoltă ameninţarea informatică de tip ransomware 3AM, a vizat un grup de şcoli din Marea Britanie, cu o infrastructură de 47 de sisteme distribuite în mai multe domenii separate. Potrivit informaţiilor disponibile cercetătorilor Bitdefender, acesta este primul caz documentat de acest tip în Europa. 

Investigaţia arată că atacatorii au urmat o succesiune obişnuită pentru operaţiunile ransomware: furtul datelor de acces de pe serverele de backup, crearea unor conturi neautorizate de administrator, conectarea unor domenii separate, sustragerea datelor, încercarea de eliminare a soluţiilor de securitate şi criptarea sistemelor.

Elementul distinctiv este modul în care au fost împărţite sarcinile. Unele activităţi indică intervenţia directă a unui operator uman, în timp ce altele prezintă un tipar compatibil cu utilizarea unui agent AI care execută comenzi, interpretează rezultatele şi îşi ajustează abordarea până când operaţiunea reuşeşte. 

Indicii privind implicarea AI în desfăşurarea atacului

Cercetătorii de la Bitdefender au identificat mai multe semnale care, analizate împreună, susţin ipoteza utilizării agenţilor AI, precum prezenţa unor erori tipice comenzilor reproduse din cunoştinţele modelului de inteligenţă artificială. 

Ritmul operaţiunilor evidenţiază, de asemenea, două moduri de lucru. Deciziile importante erau separate de pauze de câteva minute, compatibile cu intervenţia umană. În schimb, încercările de remediere a operaţiunilor eşuate se repetau la intervale de 40 până la 100 de secunde, indiferent de amploarea modificării. 

Cel mai clar exemplu a fost conectarea domeniilor separate ale şcolilor. Această etapă a presupus configurări repetitive, în care erorile erau urmate de ajustări şi noi încercări, într-un ciclu compatibil cu modul de lucru al unui agent AI. 

Atacatorii au sustras credenţiale de pe serverele de backup şi au creat două conturi neautorizate de administrator, cu denumiri menite să se integreze în lista de conturi a unei şcoli. Tentativa de eliminare a soluţiei de securitate de pe staţiile de lucru a fost blocată de mecanismele de protecţie împotriva modificărilor neautorizate. 

Pe 19 septembrie, aproximativ 37 de sisteme au fost criptate. Pe parcursul atacului, au fost şterse şi copii de siguranţă ale sistemelor. 

Un model de atac uşor de replicat

Noutatea cazului nu constă în viteza execuţiei sau în folosirea unor tehnici de atac noi, ci în integrarea AI în activităţile operaţionale ale atacatorilor. Costurile reduse şi lipsa necesităţii unor competenţe suplimentare fac acest model uşor de replicat. Bitdefender estimează că atacurile hibride, în care operatorii umani coordonează activitatea agenţilor AI, vor deveni mai frecvente în 2027. 

Totodată, utilizarea agenţilor AI lasă urme care pot sprijini detectarea. Comenzile repetate, scripturile numerotate şi fişierele de test rămase în infrastructură oferă echipelor de securitate mai multe oportunităţi de a identifica activitatea periculoasă. 

Concluziile privind utilizarea AI se bazează pe comportamentul observat în reţeaua compromisă. Cercetătorii nu au avut acces la sistemul atacatorilor şi nu pot stabili ce model AI a fost folosit sau dacă un operator uman a transferat manual comenzile între instrumentul AI şi infrastructura vizată. Cercetarea continuă eforturile Bitdefender de a documenta utilizarea inteligenţei artificiale în atacuri informatice, după analiza codului generat cu AI în cazul APT36, publicată în martie 2026, şi a dezvoltării asistate de AI în cazul SilkParasite, din august 2026. Noul caz indică extinderea utilizării AI de la crearea instrumentelor de atac la executarea unor etape ale atacului însuşi. 

Cercetarea completă e disponibilă aici: https://businessinsights.bitdefender.com/3am-ransomware-hybrid-ai-attack

 Despre Bitdefender

Bitdefender este un lider recunoscut în domeniul securităţii IT, care oferă soluţii superioare de prevenţie, detecţie şi răspuns la incidente de securitate cibernetică. Milioane de sisteme folosite de oameni, companii şi instituţii guvernamentale sunt protejate de soluţiile companiei, ceea ce face Bitdefender unul dintre cei mai de încredere experţi în combaterea ameninţărilor informatice, în protejarea intimităţii şi datelor, a identităţii digitale şi în consolidarea rezilienţei la atacuri. Ca urmare a investiţiilor susţinute în cercetare şi dezvoltare, laboratoarele Bitdefender descoperă sute de noi ameninţări informatice în fiecare minut şi validează zilnic 50 de miliarde de interogări privind ameninţările. Compania a inovat constant în domenii precum antimalware, Internetul Lucrurilor, analiză comportamentală şi inteligenţă artificială, iar tehnologiile Bitdefender sunt licenţiate către peste 200 dintre cele mai cunoscute branduri de securitate din lume. Fondată în 2001, compania Bitdefender are clienţi în peste 170 de ţări şi birouri pe toate continentele. Mai multe detalii sunt disponibile pe www.bitdefender.ro.