Sette banche sudcoreane sono state violate con un agente open-source di pentest basato sull'AI — Gli investigatori affermano che era ancora un essere umano a pilotarlo

Tra il 28 settembre e i primi giorni di ottobre 2026, degli intrusi si sono introdotti in almeno sette istituzioni finanziarie sudcoreane — Shinhan Bank, KB Kookmin Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank e Hyundai Capital — e sono usciti con i dati personali di circa 66.000 persone, oltre a circa 2.200 dati aziendali, secondo le cifre divulgate dalle istituzioni e compilate dai media coreani. Nessun denaro è stato movimentato: la Financial Services Commission ha dichiarato che gli aggressori non hanno prelevato password né codici di autenticazione monouso, e ha confermato che nessun cliente aveva perso fondi. Ciò che hanno prelevato era la materia prima per le frodi — nomi, numeri di telefono, redditi annui, limiti di indebitamento calcolati, indirizzi e, presso diverse aziende, numeri di identificazione nazionale.

Il 6 ottobre 2026, il presidente Lee Jae Myung ha detto a una riunione di gabinetto che «in alcuni incidenti di hacking sono emersi segnali dell'uso dell'IA, causando notevole preoccupazione e ansia tra il pubblico», secondo Reuters, come citato da American Banker. Non ha nominato un modello né uno strumento. Gli investigatori ne avevano già uno: ARTEX, un sistema autonomo open-source di penetration testing progettato per eseguire più agenti IA contro un obiettivo. La valutazione del Financial Security Institute, fornita a Herald Business, è che l'IA «non ha agito in modo indipendente senza il coinvolgimento umano».

Le porte laterali, non il caveau

Nessuna delle sette violazioni ha raggiunto il core banking. La normativa coreana impone che i sistemi core delle banche siano fisicamente separati dalle reti esterne, e il Financial Security Institute ha dichiarato all'Herald Business che ogni attacco esaminato ha colpito invece sistemi interni rivolti ai dipendenti o ai partner. Tali sistemi contengono grandi volumi di dati dei clienti e, per ammissione dello stesso istituto, «erano stati gestiti con meno rigore» rispetto alle app per i consumatori.

• Shinhan Bank — un servizio di consultazione sullo stato di avanzamento dei prestiti creato per i reclutatori di prestiti, agenti esterni che segnalano i mutuatari. Circa 25.000 clienti sono stati interessati, secondo l'avviso della banca del 1° ottobre, che elencava nomi, numeri di telefono, redditi annuali e limiti di indebitamento calcolati. Le testate sudcoreane hanno successivamente indicato la cifra in 25.727. Tech Times ha riportato che sono stati acquisiti anche 66 numeri di identificazione nazionale e 97 identificatori CI; tali cifre non compaiono nell'avviso della banca.

• KB Kookmin Bank — un sistema mobile di supporto al lavoro per i dipendenti. American Banker ha riportato che 99 clienti e 20 dipendenti attuali o ex sono stati coinvolti; le testate coreane hanno riportato un numero fisso di 119. Tech Times ha affermato che nomi, numeri di telefono, indirizzi e numeri di identificazione nazionale crittografati sono stati esposti, e che il rilevamento ha richiesto circa 43 ore.

• Hana Bank — un sistema di supporto alle vendite per i dipendenti noto come ODS, che ha esposto i dati di 89 clienti: numeri di carta d'identità nazionale, nomi, indirizzi, indirizzi email e numeri di telefono, secondo Tech Times.

• BNK Busan Bank — pagine web con «convalida di sessione insufficiente», stando a quanto dichiarato dalla banca a Yonhap, che esponevano dati su 11 sviluppatori esternalizzati.

• Yegaram Savings Bank — un server contenente i dati dei clienti; circa 40.000 persone, il più alto bilancio singolo reso noto. La banca aveva già pubblicato un avviso secondo cui un hacker non identificato aveva ottenuto l'accesso e causato una fuga di dati, ha riferito Herald Business.

• Welcome Savings Bank — più di 2.200 registrazioni di clienti aziendali, secondo la compilazione del Kyunghyang Shinmun del briefing delle autorità del 4 ottobre.

• Hyundai Capital — la pagina di ricerca dei consulenti per mutui, che espone 146 consulenti, secondo Tech Times e Seoul Shinmun.

Due cose sull’aritmetica vanno dette chiaramente. La cifra di 66.000 non è un numero pubblicato da alcuna autorità di regolamentazione; è la somma di sette comunicazioni separate a livello di singola istituzione, ed è cambiata nel corso della prima settimana di ottobre man mano che le aziende completavano la revisione dei propri log. Il 3 ottobre l’Herald Business indicava il totale confermato a «poco meno di 26.000», prima che venissero aggiunti i circa 40.000 di Yegaram. Tech Times, in un articolo del 5 ottobre, scriveva che il conteggio confermato aveva superato i 65.000 e si prevedeva che aumentasse. L’archivio registra un intervallo compreso tra 65.000 e 68.000. Separatamente, il Financial Security Institute ha dichiarato all’Herald Business che «sono state attaccate molte più istituzioni di quelle che hanno poi avuto incidenti effettivi», comprese organizzazioni al di fuori del settore bancario — una dichiarazione che non è stata quantificata.

Come un titolo di pagina è diventato un'attribuzione

Il collegamento ad ARTEX non è venuto dalla confessione degli aggressori. È venuto da una stringa nell'intestazione di una pagina web. Il 2 ottobre, Moon Jong-hyun, responsabile del Genians Security Center, ha pubblicato che i server web usati negli attacchi contro molteplici obiettivi coreani riportavano il titolo HTML "ARTEX-自主渗透测试控制台" — all'incirca "console autonoma per test di penetrazione ARTEX" — secondo il Kyunghyang Shinmun. Era una prova indiziaria: il nome di uno strumento nel titolo di una pagina indica che un server eseguiva lo strumento, non che sia stato lo strumento a effettuare il furto.

Fu poi il Financial Security Institute a fare la parte che contava. Un funzionario dell'istituto ha detto a Herald Business che gli investigatori hanno tracciato gli IP dell'attacco e i log dei server da Shinhan Bank — la prima istituzione a segnalarlo — e hanno trovato prove che indicano ARTEX, e che il traffico generato dallo strumento presenta "una specifica firma dei dati comune" ad esso, ed è così che gli aggressori sono stati identificati tra le diverse vittime. Il presidente dell'istituto Park Sang-won ha detto ai giornalisti che gli IP dell'attacco erano "quasi gli stessi per le banche, e un po' diversi per le casse di risparmio", e ha avvertito che ciò non stabilisce chi ci fosse dietro: "ARTEX è open source e disponibile pubblicamente in tutto il mondo", ha detto. "Gli IP dell'attacco possono essere instradati attraverso vari luoghi, quindi i soli IP non possono identificare l'attaccante." Secondo il Kyunghyang Shinmun, sono stati usati IP di otto paesi.

La ricostruzione indipendente di CrowdStrike, pubblicata il 7 ottobre, è andata oltre qualsiasi testata coreana. Il suo team Counter Adversary Operations ha trovato directory aperte su server controllati dagli attaccanti — una presso 38.244.50[.]120, che ospitava un'istanza ARTEX e un file di configurazione di C​laude Code contenente un prompt di pentesting in lingua cinese, e un indirizzo di Hong Kong che conteneva le cronologie delle sessioni di C​laude Code, file di configurazione ARTEX e file di memoria di C​laude. Le directory non sono mai state protette. CrowdStrike ha letto le note di lavoro dell'operazione.

La configurazione rivelata da quelle note è specifica: l'istanza ARTEX utilizzava DeepSeek v4.1-flash come backend principale del modello, con GLM-5.3 di Z​hipu AI e Grok 4.6 aggiunti per altre sessioni di C​laude Code, e l'operatore ha probabilmente raggiunto D​eepSeek tramite un rivenditore che CrowdStrike indica come xcai[.]pro. Si tratta di un quadro diverso rispetto alla documentazione di ARTEX stessa: American Banker ha notato che la pagina GitHub dello strumento lo descrive come in esecuzione su modelli di A​nthropic o O​penAI. Lo strumento non include un modello; include un harness, e chi lo gestisce fornisce l'intelligenza.

CrowdStrike ha inoltre scoperto che l'operatore stava facendo qualcosa di diverso dall'intrusione. Nelle sessioni recuperate, l'utente ha chiesto a C​laude dove gli attori delle minacce vendono tipicamente i dati coreani delle violazioni e ha chiesto aiuto per trovare gruppi Telegram coreani che li vendono. In un'altra, l'utente ha chiesto a C​laude di redigere un curriculum da ricercatore di sicurezza che elencasse i risultati del lavoro ARTEX. CrowdStrike ha affermato che i dettagli personali in quel prompt «probabilmente appartengono all'attore della minaccia», ma che «le informazioni attualmente disponibili non possono associare in modo definitivo questi dettagli all'attore della minaccia». Security Affairs, che ha trattato il rapporto, è andata oltre e ha sostenuto che quei dettagli non dovrebbero essere affatto ripetuti in un articolo giornalistico. Non vengono ripetuti qui.

Che cos'è realmente ARTEX

ARTEX è un sistema autonomo di penetration testing multi-agente basato su modelli linguistici di grandi dimensioni, rilasciato su GitHub con lo pseudonimo dello sviluppatore Autumn-27. Secondo la lettura del suo repository da parte del Kyunghyang Shinmun, è stato pubblicato il 26 luglio 2026, si è classificato al primo posto tra circa 150 team in una competizione di attacco e difesa informatica ospitata da B​aidu il 3 settembre, e ha distribuito la sua ultima versione il 24 settembre — tre giorni prima della prima intrusione coreana che il giornale data al 27 settembre. È stato creato per test di sicurezza autorizzati, del tipo che acquistano le banche: trovare le falle prima che lo faccia qualcun altro.

Dopo che la campagna è diventata pubblica, Autumn-27 l'ha reso a codice chiuso. "ARTEX era stato originariamente progettato per finalità di apprendimento e ricerca", ha dichiarato lo sviluppatore in una nota riportata da The Hacker News. "Alla luce della realtà dell'abuso degli strumenti, il progetto ARTEX non sarà più aggiornato e sarà convertito a codice chiuso. In futuro non verrà rilasciata alcuna versione né sarà fornito supporto di manutenzione." La chiusura del repository non richiama le copie già scaricate, e la precisazione del Financial Security Institute a Herald Business era che ARTEX non è speciale: "Esistono moltissimi strumenti di IA open source come ARTEX. Attualmente non c'è modo di limitare tutto ciò che viene sviluppato e distribuito in tutto il mondo."

Ciò che è stabilito e ciò che non lo è

È qui che il resoconto premia un lettore attento, perché le parti sicure e quelle incerte sono molto vicine tra loro.

Accertato:sette istituzioni indicate per nome hanno subito violazioni di dati tra la fine di settembre e l'inizio di ottobre 2026; gli intrusi hanno raggiunto sistemi ausiliari anziché il core banking; le perdite rese note ammontano complessivamente a circa 66.000 record individuali più circa 2.200 aziendali; il Financial Security Institute ha tracciato i log di Shinhan e ha trovato ARTEX; CrowdStrike ha trovato in modo indipendente infrastrutture ARTEX, file di configurazione e storici delle sessioni LLM su server controllati dagli attaccanti; e la valutazione dell'istituto è che un essere umano abbia diretto lo strumento.

Non stabilito: chi lo abbia fatto. CrowdStrike non ha attribuito la campagna ad alcun avversario identificato e ha valutato con solo moderata fiducia che l'operatore sia una persona di lingua cinese con motivazioni finanziarie — un giudizio basato sull'uso di uno strumento sviluppato in Cina e di prompt in lingua cinese, entrambi segnali deboli per la nazionalità. Il Kyunghyang Shinmun ha citato Park Chun-sik dell'Università Ajou, che ha fatto l'ovvia osservazione che i gruppi sofisticati passano attraverso più paesi proprio per spezzare tale inferenza. Non è inoltre stabilito che ARTEX sia stato usato in tutte e sette le violazioni, ma solo che è stato identificato negli attacchi alle banche e che le casse di risparmio sono state attaccate in modo simile.

Contestato ai margini: come ha funzionato l'intrusione in Shinhan. Yonhap ha parlato di credential stuffing; il Dong-A Ilbo, basandosi su un rapporto sull'incidente che Shinhan ha fornito a un legislatore, ha descritto un'attività di enumerazione — ovvero l'immissione di numeri di clienti casuali nel servizio di ricerca finché alcuni non restituivano dati — nell'arco di circa 30 ore a partire dal 28 settembre. Ciò che non è in discussione è l'esito: una fase di verifica tramite telefono cellulare è stata aggirata, e nessun resoconto ha spiegato come. L'avviso di Shinhan dice solo che un "estraneo non autorizzato" ha raggiunto alcuni servizi "attraverso mezzi anomali".

Non formalmente confermato da un'autorità di vigilanza: l'attribuzione ad ARTEX stessa. La conclusione del Financial Security Institute è arrivata al pubblico tramite un funzionario che ha parlato con Herald Business, e American Banker ha osservato senza mezzi termini che «nessuna autorità di vigilanza ha pubblicamente indicato ARTEX come coinvolta nell'attacco». Tale distinzione conta meno di quanto sembri — l'istituto è l'agenzia informatica del settore e il suo presidente ha discusso il caso con i giornalisti — ma è la differenza tra una constatazione di un'agenzia e un avviso ufficiale dell'agenzia, e il verbale la conserva.

Cosa è cambiato in seguito

La risposta normativa è stata rapida e, per gli standard coreani, insolitamente ampia. La Financial Services Commission ha tenuto riunioni d'emergenza venerdì 2 ottobre e domenica 4 ottobre e ha ordinato alle società finanziarie di censire ogni sistema esposto a Internet «indipendentemente dal fatto che siano rivolti ai clienti», con le lacune da colmare entro l'8 ottobre, secondo Yonhap. Ha detto alle società che i dati di credito personale non devono essere «memorizzati o visualizzabili inutilmente» nei sistemi usati dai dipendenti e da «personale esterno come procacciatori di prestiti e appaltatori in outsourcing», che ha definito «la causa delle recenti intrusioni». La polizia ha avviato un'indagine formale e il Financial Security Institute ha iniziato a redigere una raccomandazione affinché le società sottopongano ad audit tutti i sistemi interni rivolti ai dipendenti tra i loro punti di accesso esterni.

L'avviso ai consumatori della commissione, diffuso il 6 ottobre, affermava che gli aggressori non avevano ottenuto password né codici monouso e che nessun cliente aveva perso denaro, ma avvertiva che i dati rubati su redditi e prestiti rendevano facile costruire offerte di prestiti false e convincenti. Il direttore del Financial Security Institute si aspettava lo stesso: "L'aggressore non ha preso il controllo dei sistemi — è entrato e ha estratto informazioni interrogandole", ha detto il funzionario a Herald Business. "I dati personali divulgati potrebbero essere usati per voice phishing e truffe simili, ma non prevediamo che i fondi vengano trasferiti direttamente dai conti."

Il cambiamento di maggiore impatto è quello che il resoconto riporta e che la copertura dei media coreani complica. Le autorità di regolamentazione stavano allentando la separazione delle reti — la regola che mantiene i sistemi aziendali delle banche fisicamente isolati dalle reti esterne — per consentire alle imprese di utilizzare strumenti di sicurezza basati sull'IA. Un primo gruppo di imprese è stato ammesso, e un secondo ciclo doveva essere selezionato tra 75 candidati, con un tetto di 15, il 7 ottobre. The Tracker ha riportato il 21 ottobre che la commissione ha rinviato quella selezione, citando personale impegnato nella risposta agli incidenti, e che non è stata fissata alcuna data di ripresa; ha inoltre riportato che la commissione insiste sul fatto che non ha abbandonato la politica in sé. Questa sfumatura è coerente con quanto il presidente della Financial Services Commission, Lee Eok-won, ha dichiarato a un audit parlamentare l'8 ottobre, come riportato da Yonhap, ovvero che, per fermare gli attacchi guidati dall'IA, «si finisce per dover usare l'IA», e che la commissione stava esaminando «modalità graduali ed efficaci» per modificare le regole di separazione. Il secondo ciclo è slittato; la direzione della politica non si è invertita in modo visibile.

Anche la questione della responsabilità si è spostata. Il Tracker ha riferito che il governatore del Financial Supervisory Service, Lee Chan-jin, ha dichiarato nel corso dello stesso audit, il 19 ottobre, che questo caso potrebbe diventare il primo in cui la responsabilità di controllo interno di un amministratore delegato viene formalmente esaminata in relazione a un incidente informatico, e che il servizio sta valutando una responsabilità più stringente per i CISO e i CEO. Né le banche né l'autorità di vigilanza hanno pubblicato un rapporto sulle cause profonde.

Come l'archivio lo archivia

Il record è un incidente — un evento verificatosi, non una previsione — datato 6 ottobre 2026, il giorno in cui il presidente ha riconosciuto il segnale dell'IA e il giorno in cui è stato diramato l'avviso ai consumatori della commissione. La gravità è critica; i tag di tipo sono ARMA ed ESFILTRAZIONE, il che significa uno strumento riadattato come strumento d'attacco e dati esfiltrati. Il danno reale è registrato come vero, il coinvolgimento dell'IA è confermato, e il grado di confidenza è A — ben documentato, con fonti primarie concordanti. Il record non è contrassegnato come contestato.

Quella valutazione merita una lettura precisa. Dice che l’evento e la sua forma sono ben attestati: le violazioni, i sistemi, i conteggi, lo strumento, la guida umana. Non dice che l’operatore sia stato identificato, perché nessuno ha identificato l’operatore, e non trasforma il riscontro di un istituto in un avviso di un’autorità di vigilanza. L’unica cosa che questo caso stabilisce al di là dei suoi stessi numeri è più circoscritta e più utile: un agente open-source creato per test autorizzati è stato puntato contro sette società finanziarie, ha abbassato le competenze necessarie per condurre una campagna contro più obiettivi in meno di una settimana, e ciò che lo ha fermato non è stato un modello intelligente, ma un istituto che ha notato il titolo di una pagina e una banca che ha letto i propri log.

Questa scheda si trova accanto agli altri incidenti AI documentatinell'archivio degli incidenti AI, dove ogni voce riporta le proprie fonti, il livello di gravità, il grado di confidenza e l'indicatore di contestazione.