Sieben südkoreanische Banken wurden mit einem Open-Source-KI-Pentest-Agenten kompromittiert – laut Ermittlern steuerte noch ein Mensch den Agenten.

Zwischen dem 28. September und den ersten Oktobertagen 2026 drangen Eindringlinge in mindestens sieben südkoreanische Finanzinstitute ein — Shinhan Bank, KB Kookmin Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank und Hyundai Capital — und entwendeten die personenbezogenen Datensätze von rund 66.000 Personen sowie etwa 2.200 Unternehmensdatensätze, so die von den Instituten offengelegten und von koreanischen Medien zusammengestellten Zahlen. Es floss kein Geld: Die Financial Services Commission erklärte, die Angreifer hätten keine Passwörter und keine Einmal-Authentifizierungscodes erbeutet, und bestätigte, dass kein Kunde Geld verloren habe. Was sie erbeuteten, war der Rohstoff für Betrug — Namen, Telefonnummern, Jahreseinkommen, berechnete Kreditlimits, Adressen und bei mehreren Unternehmen auch Personalausweisnummern.

Am 6. Oktober 2026 erklärte Präsident Lee Jae Myung bei einer Kabinettssitzung, „bei einigen Hacking-Vorfällen seien Anzeichen dafür aufgetreten, dass KI zum Einsatz komme, was erhebliche öffentliche Besorgnis und Angst auslöse“, wie Reuters unter Berufung auf American Banker berichtete. Er nannte weder ein Modell noch ein Werkzeug. Die Ermittler hatten bereits eines: ARTEX, ein Open-Source-System für autonome Penetrationstests, das dafür entwickelt wurde, mehrere KI-Agenten gegen ein Ziel laufen zu lassen. Die Bewertung des Financial Security Institute gegenüber dem Herald Business lautet, dass die KI „nicht ohne menschliches Zutun eigenständig gehandelt habe“.

Die Seitentüren, nicht der Tresor.

Keiner der sieben Sicherheitsvorfälle erreichte das Kernbankensystem. Die koreanische Regulierung verlangt, dass die Kernsysteme der Banken physisch von externen Netzwerken getrennt sind, und das Financial Security Institute erklärte gegenüber Herald Business, dass jeder von ihm untersuchte Angriff stattdessen interne Systeme für Mitarbeiter oder Partner getroffen habe. Diese Systeme enthalten große Mengen an Kundendaten und seien – nach eigener Aussage des Instituts – „weniger streng verwaltet worden“ als die Verbraucher-Apps.

• Shinhan Bank — ein Dienst zur Nachverfolgung des Kreditstatus, entwickelt für Kreditvermittler, also externe Vertreter, die Kreditnehmer empfehlen. Betroffen waren rund 25.000 Kunden, heißt es in der Mitteilung der Bank vom 1. Oktober, in der Namen, Telefonnummern, Jahresgehälter und berechnete Kreditlimits aufgeführt waren. Koreanische Medien nannten später die Zahl 25.727. Laut Tech Times wurden zudem 66 nationale Ausweisnummern und 97 CI-Identifikatoren entwendet; diese Zahlen tauchen in der Mitteilung der Bank nicht auf.

• KB Kookmin Bank — ein mobiles Arbeitsunterstützungssystem für Mitarbeiter. American Banker berichtete von 99 betroffenen Kunden und 20 aktuellen oder ehemaligen Mitarbeitern; koreanische Medien berichteten von genau 119. Tech Times gab an, dass Namen, Telefonnummern, Adressen und verschlüsselte nationale Identifikationsnummern offengelegt wurden und dass die Erkennung etwa 43 Stunden dauerte.

• Hana Bank — ein Vertriebsunterstützungssystem für Mitarbeiter namens ODS, das 89 Kunden preisgibt: nationale Identifikationsnummern, Namen, Adressen, E-Mail-Adressen und Telefonnummern, laut Tech Times.

• BNK Busan Bank — Webseiten mit „unzureichender Sitzungsvalidierung“, so die Bank gegenüber Yonhap, zur Offenlegung von Daten zu 11 externen Entwicklern.

• Yegaram Savings Bank — ein Server mit Kundendaten; rund 40.000 Menschen, die höchste bislang bekannt gegebene Opferzahl einer einzelnen Datenpanne. Die Bank hatte bereits einen Hinweis veröffentlicht, dass ein nicht identifizierter Hacker Zugang erlangt und eine Datenpanne verursacht habe, berichtete der Herald Business.

• Welcome Savings Bank — mehr als 2.200 Firmenkundendatensätze, wie aus der Zusammenstellung der Kyunghyang Shinmun des Behörden-Briefings vom 4. Oktober hervorgeht.

• Hyundai Capital – die Suchseite für Hypothekendarlehensvermittler, die 146 Vermittler auflistet, laut Tech Times und Seoul Shinmun.

Zur Rechnung sind zwei Dinge klar zu sagen. Die66,000er-Zahl ist keine Zahl, die eine Regulierungsbehörde veröffentlicht hat; sie ist die Summe aus sieben separaten Offenlegungen auf Institutionsebene, und sie änderte sich in der ersten Oktoberwoche, als die Unternehmen ihre Logprüfungen abschlossen. Am 3. Oktober bezifferte der Herald Business die bestätigte Gesamtsumme mit „knapp unter 26.000“, bevor Yegarams ungefähr 40.000 hinzukamen. Tech Times schrieb am 5. Oktober, die bestätigte Zahl habe 65.000 überschritten und es sei zu erwarten, dass sie weiter steige. Das Archiv verzeichnet die Spanne mit 65.000 bis 68.000. Unabhängig davon teilte das Financial Security Institute dem Herald Business mit, dass „weit mehr Institutionen angegriffen wurden als jene, bei denen es letztlich zu tatsächlichen Vorfällen kam“, darunter auch Organisationen außerhalb des Bankensektors – eine Aussage, die nicht quantifiziert wurde.

Wie aus einem Seitentitel eine Attribution wurde

Der ARTEX-Hinweis stammte nicht aus dem Geständnis der Angreifer. Er stammte aus einer Zeichenfolge in einem Webseiten-Header. Am 2. Oktober veröffentlichte Moon Jong-hyun, Leiter des Genians Security Center, dass Webserver, die bei Angriffen auf mehrere koreanische Ziele eingesetzt wurden, den HTML-Titel "ARTEX-自主渗透测试控制台" trugen – laut der Kyunghyang Shinmun etwa „ARTEX autonome Penetrationstest-Konsole". Das war ein Indizienbeweis: Der Name eines Tools in einem Seitentitel zeigt, dass auf einem Server das Tool lief, nicht dass das Tool den Diebstahl begangen hat.

Das Financial Security Institute erledigte dann den entscheidenden Teil. Ein Vertreter des Instituts sagte gegenüber Herald Business, Ermittler hätten die Angriffs-IPs und Serverprotokolle von Shinhan Bank – dem ersten Institut, das den Vorfall meldete – zurückverfolgt und Beweise gefunden, die auf ARTEX hindeuten; außerdem trage der Datenverkehr des Tools eine „spezifische Datensignatur“, die für dieses typisch sei, und auf diese Weise seien die Angreifer über die verschiedenen Opfer hinweg identifiziert worden. Institutspräsident Park Sang-won sagte vor Reportern, die Angriffs-IPs seien „bei den Banken fast identisch und bei den Sparkassen etwas anders“ gewesen, und warnte, dies belege nicht, wer dahinterstehe: „ARTEX ist Open Source und weltweit öffentlich verfügbar“, sagte er. „Angriffs-IPs können über verschiedene Stellen geleitet werden, daher lassen sich allein anhand der IPs keine Rückschlüsse auf den Angreifer ziehen.“ Laut Kyunghyang Shinmun wurden IPs aus acht Ländern verwendet.

CrowdStrikes unabhängige Rekonstruktion, veröffentlicht am 7. Oktober, ging weiter als jedes koreanische Medium. Ihr Counter Adversary Operations-Team fand offene Verzeichnisse auf von Angreifern kontrollierten Servern – eines unter 38.244.50[.]120, das eine ARTEX-Instanz und eine C​laude-Code-Konfigurationsdatei beherbergte, die einen chinesischsprachigen Pentesting-Prompt enthielt, sowie eine Hongkonger Adresse, auf der C​laude-Code-Sitzungsverläufe, ARTEX-Konfigurationsdateien und C​laude-Speicherdateien lagen. Die Verzeichnisse waren nie gesperrt. CrowdStrike las die Arbeitsnotizen der Operation.

Die Konfiguration, die diese Notizen offenlegten, ist spezifisch: Die ARTEX-Instanz verwendete DeepSeek v4.1-flash als ihr primäres Modell-Backend, wobei GLM-5.3 von Z​hipu AI und Grok 4.6 für andere Sitzungen von C​laude Code hinzugefügt wurden, und der Betreiber gelangte wahrscheinlich über einen Reseller, den CrowdStrike als xcai[.]pro bezeichnet, zu D​eepSeek. Das ergibt ein anderes Bild als die eigene Dokumentation von ARTEX: American Banker stellte fest, dass die GitHub-Seite des Tools beschreibt, dass es auf Modellen von A​nthropic oder O​penAI läuft. Das Tool liefert kein Modell aus; es liefert ein Harness aus, und wer es betreibt, stellt die Intelligenz bereit.

CrowdStrike hat den Akteur außerdem dabei erwischt, etwas anderes als ein Eindringen zu tun. In den Sitzungen, die das Unternehmen wiederherstellte, fragte der Nutzer C​laude, wo Bedrohungsakteure üblicherweise koreanische Daten aus Sicherheitsverletzungen verkaufen, und bat um Hilfe beim Auffinden koreanischer Telegram-Gruppen, die diese verkaufen. In einer anderen Sitzung bat der Nutzer C​laude, den Lebenslauf eines Sicherheitsforschers zu entwerfen, der die Ergebnisse der ARTEX-Arbeit auflistet. CrowdStrike sagte, die persönlichen Angaben in diesem Prompt „gehörten wahrscheinlich zum Bedrohungsakteur“, aber „die derzeit verfügbaren Informationen können diese Angaben nicht definitiv mit dem Bedrohungsakteur in Verbindung bringen“. Security Affairs, das über den Bericht berichtete, ging weiter und argumentierte, dass diese Angaben in einem Nachrichtenartikel überhaupt nicht wiederholt werden sollten. Sie werden hier nicht wiederholt.

Was ARTEX eigentlich ist

ARTEX ist ein von einem großen Sprachmodell gesteuertes, multiagentisches autonomes Penetration-Testing-System, das auf GitHub unter dem Entwickler-Handle Autumn-27 veröffentlicht wurde. Laut der Auswertung seines Repositorys durch die Kyunghyang Shinmun wurde es am 26. Juli 2026 veröffentlicht, belegte den ersten Platz unter etwa 150 Teams bei einem von B​aidu am 3. September ausgerichteten Wettbewerb für Cyber-Offensive und -Defensive und lieferte seine neueste Version am 24. September aus — drei Tage vor dem ersten koreanischen Eindringen, das die Zeitung auf den 27. September datiert. Es wurde für autorisierte Sicherheitstests gebaut, wie sie Banken kaufen: Finde die Lücken, bevor es jemand anderes tut.

Nachdem die Kampagne öffentlich geworden war, stellte Autumn-27 sie auf Closed Source um. „ARTEX wurde ursprünglich zum Zweck des Lernens und der Forschung entwickelt“, sagte der Entwickler in einer von The Hacker News berichteten Erklärung. „Angesichts der Realität des Missbrauchs von Tools wird das ARTEX-Projekt nicht mehr aktualisiert und in ein Closed-Source-Projekt umgewandelt. Es wird künftig weder eine Veröffentlichung irgendeiner Version noch Wartungssupport geben.“ Das Schließen des Repositorys holt die bereits heruntergeladenen Kopien nicht zurück, und das Argument des Financial Security Institute gegenüber Herald Business war, dass ARTEX nichts Besonderes sei: „Es gibt sehr viele Open-Source-KI-Tools wie ARTEX. Derzeit gibt es keine Möglichkeit, alles einzuschränken, was weltweit entwickelt und verbreitet wird.“

Was gesichert ist und was nicht

Hier belohnt die Aufzeichnung einen aufmerksamen Leser, denn die sicheren Teile und die unsicheren Teile stehen dicht beieinander.

Festgestellt: sieben namentlich genannte Institute waren zwischen Ende September und Anfang Oktober 2026 von Datenlecks betroffen; die Eindringlinge gelangten an Hilfssysteme statt an das Kernbankensystem; die offengelegten Verluste belaufen sich auf insgesamt etwa 66.000 einzelne Datensätze plus rund 2.200 Unternehmensdatensätze; das Financial Security Institute verfolgte die Protokolle von Shinhan und fand ARTEX; CrowdStrike fand unabhängig ARTEX-Infrastruktur, Konfigurationsdateien und LLM-Sitzungsverläufe auf von Angreifern kontrollierten Servern; und die Einschätzung des Instituts ist, dass ein Mensch das Tool steuerte.

Nicht geklärt: wer es getan hat. CrowdStrike hat die Kampagne keinem namentlich genannten Gegner zugeschrieben und bewertete mit nur mittlerer Zuversicht, dass der Akteur ein chinesischsprachiger und finanziell motivierter Betreiber ist – ein Urteil, das auf der Nutzung eines in China entwickelten Tools und chinesischsprachiger Prompts beruht, die beide schwache Indizien für die Nationalität sind. Die Kyunghyang Shinmun zitierte Park Chun-sik von der Ajou University mit dem naheliegenden Punkt, dass ausgeklügelte Gruppen gerade deshalb über mehrere Länder leiten, um diesen Rückschluss zu entkräften. Es ist auch nicht belegt, dass ARTEX bei allen sieben Sicherheitsvorfällen verwendet wurde, sondern nur, dass es bei den Angriffen auf die Banken identifiziert wurde und dass die Sparkassen auf ähnliche Weise angegriffen wurden.

An den Rändern umstritten: Wie der Shinhan-Einbruch ablief. Yonhap beschrieb Credential Stuffing; die Dong-A Ilbo beschrieb – gestützt auf einen Vorfallbericht, den Shinhan einem Abgeordneten gegeben hatte – Enumeration: das Einspeisen zufälliger Kundennummern in den Abfragedienst, bis einige Daten zurückkamen, über rund 30 Stunden ab dem 28. September. Unstrittig ist das Ergebnis: Eine Mobiltelefon-Verifizierungsstufe wurde umgangen, und keine Darstellung hat erklärt, wie. Die Mitteilung von Shinhan besagt nur, dass ein „unbefugter Außenseiter“ einige Dienste „auf ungewöhnliche Weise“ erreicht habe.

Nicht formell von einer Aufsichtsbehörde bestätigt: die ARTEX-Zuordnung selbst. Die Erkenntnis des Financial Security Institute gelangte über einen Amtsträger, der gegenüber Herald Business sprach, an die Öffentlichkeit, und American Banker stellte schlicht fest, dass „keine Aufsichtsbehörde ARTEX öffentlich als an dem Angriff beteiligt genannt hat“. Dieser Unterschied ist weniger bedeutsam, als er klingt – das Institut ist die Cyberbehörde des Sektors, und sein Präsident erörterte den Fall mit Journalisten –, aber er ist der Unterschied zwischen einer behördlichen Feststellung und einer behördlichen Mitteilung, und die Aktenlage hält diesen Unterschied fest.

Was hat sich danach geändert?

Die regulatorische Reaktion war schnell und nach koreanischen Maßstäben ungewöhnlich umfassend. Die Financial Services Commission hielt am Freitag, dem 2. Oktober, und am Sonntag, dem 4. Oktober, Dringlichkeitssitzungen ab und wies Finanzunternehmen an, jedes internetzugängliche System zu erfassen – „unabhängig davon, ob es kundengerichtet ist“ –, wobei Lücken zu schließen sind bis zum 8. Oktober, nach Angaben von Yonhap. Sie teilte den Unternehmen mit, dass personenbezogene Kreditdaten in Systemen, die von Mitarbeitern und von „externem Personal wie Kreditvermittlern und Outsourcing-Auftragnehmern“ genutzt werden, nicht „unnötig gespeichert oder einsehbar“ sein dürften, was sie als „die Ursache der jüngsten Sicherheitsverletzungen“ bezeichnete. Die Polizei eröffnete ein förmliches Ermittlungsverfahren, und das Financial Security Institute begann mit der Ausarbeitung einer Empfehlung, dass Unternehmen alle internen, mitarbeitergerichteten Systeme unter ihren externen Zugangspunkten prüfen sollten.

Die Verbraucherwarnung der Kommission vom 6. Oktober besagte, dass die Angreifer keine Passwörter oder Einmalcodes erlangt hatten und dass kein Kunde Geld verloren hatte, warnte jedoch, dass die gestohlenen Einkommens- und Kreditdaten es leicht machten, überzeugende gefälschte Kreditangebote zu erstellen. Der Direktor des Financial Security Institute erwartete dasselbe: „Der Angreifer hat die Systeme nicht übernommen – er ist eingedrungen und hat Informationen extrahiert, indem er sie abfragte“, sagte der Beamte gegenüber Herald Business. „Die geleakten personenbezogenen Daten könnten für Voice Phishing und ähnliche Betrugsmaschen genutzt werden, aber wir erwarten nicht, dass Gelder direkt von Konten abgezogen werden.“

Die folgenreichste Änderung ist eine, die der Bericht benennt und die die koreanische Berichterstattung verkompliziert. Die Aufsichtsbehörden hatten die Netzwerktrennung gelockert – die Regel, die die Geschäftssysteme der Banken physisch von externen Netzwerken isoliert hält –, um Unternehmen den Betrieb von KI-Sicherheitstools zu ermöglichen. Eine erste Gruppe von Unternehmen wurde zugelassen, und eine zweite Runde sollte am 7. Oktober aus 75 Bewerbern ausgewählt werden, begrenzt auf 15. Der Tracker berichtete am 21. Oktober, dass die Kommission diese Auswahl verschoben habe, mit der Begründung, dass Mitarbeiter für die Incident-Response abgezogen worden seien, und dass kein Termin für eine Wiederaufnahme festgelegt worden sei; er berichtete außerdem, dass die Kommission darauf beharrt, die Politik selbst nicht aufgegeben zu haben. Diese Nuance deckt sich mit dem, was der Vorsitzende der Financial Services Commission, Lee Eok-won, am 8. Oktober bei einer parlamentarischen Prüfung sagte, wie Yonhap berichtete: Um KI-gesteuerte Angriffe zu stoppen, „kommt man am Ende nicht umhin, KI einzusetzen“, und die Kommission prüfe „stufenweise und wirksame Wege“, die Trennvorschriften zu ändern. Die zweite Runde verzögerte sich; die Richtung der Politik kehrte sich nicht sichtbar um.

Auch die Verantwortungsfrage verschob sich. Der Tracker berichtete, dass der Gouverneur des Financial Supervisory Service, Lee Chan-jin, am 19. Oktober gegenüber derselben Prüfung erklärte, dieser Fall könnte der erste sein, in dem die Verantwortung eines Vorstandsvorsitzenden für die interne Kontrolle wegen eines Cybervorfalls förmlich geprüft werde, und dass die Behörde strengere Rechenschaftspflichten für CISOs und CEOs erwäge. Weder die Banken noch die Aufsichtsbehörde haben einen Bericht zur Ursachenanalyse veröffentlicht.

Wie das Archiv es ablegt

Der Eintrag ist ein Vorfall – ein eingetretenes Ereignis, keine Prognose – datiert auf den 6. Oktober 2026, den Tag, an dem der Präsident das KI-Signal zur Kenntnis nahm, und den Tag, an dem die Verbraucherwarnung der Kommission veröffentlicht wurde. Der Schweregrad ist kritisch; die Typ-Tags sind WEAPON und EXFIL, was bedeutet, dass ein Werkzeug als Angriffsinstrument zweckentfremdet und Daten entwendet wurden. Realer Schaden ist als wahr verzeichnet, KI-Beteiligung ist bestätigt, und die Konfidenzstufe ist A – gut dokumentiert, mit übereinstimmenden Primärquellen. Der Eintrag ist nicht als umstritten markiert.

Diese Einstufung ist es wert, genau gelesen zu werden. Sie besagt, dass das Ereignis und seine Form gut belegt sind: die Verstöße, die Systeme, die Zahlen, das Tool, die menschliche Steuerung. Sie besagt nicht, dass der Betreiber identifiziert wurde, denn niemand hat den Betreiber identifiziert, und sie macht aus der Feststellung eines Instituts nicht eine Mitteilung einer Aufsichtsbehörde. Das Einzige, was dieser Fall über seine eigenen Zahlen hinaus belegt, ist enger und nützlicher: Ein Open-Source-Agent, der für autorisierte Tests entwickelt wurde, wurde auf sieben Finanzunternehmen angesetzt, er senkte die Fähigkeiten, die nötig waren, um in weniger als einer Woche eine Kampagne gegen mehrere Ziele durchzuführen, und was ihn stoppte, war kein cleveres Modell, sondern ein Institut, das einen Seitentitel bemerkte, und eine Bank, die ihre eigenen Protokolle las.

Dieser Eintrag steht neben den anderen dokumentierten KI-Vorfällen im KI-Vorfallarchiv, wobei jeder Eintrag eigene Quellen, einen Schweregrad, eine Konfidenzstufe und eine Kennzeichnung als umstritten aufweist.