Siedem południowokoreańskich banków zostało zaatakowanych za pomocą agenta AI do testów penetracyjnych o otwartym kodzie źródłowym — śledczy twierdzą, że nadal sterował nim człowiek

Między 28 września a pierwszymi dniami października 2026 r. intruzi włamali się do co najmniej siedmiu południowokoreańskich instytucji finansowych — Shinhan Bank, KB Kookmin Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank i Hyundai Capital — i wynieśli dane osobowe około 66 000 osób, a także około 2 200 rekordów firmowych, według danych ujawnionych przez instytucje i zestawionych przez koreańskie media. Nie przeniesiono żadnych środków: Komisja Usług Finansowych poinformowała, że atakujący nie przejęli haseł ani jednorazowych kodów uwierzytelniających, i potwierdziła, że żaden klient nie utracił środków. To, co zabrali, stanowiło materiał wyjściowy do oszustw — imiona i nazwiska, numery telefonów, roczne dochody, wyliczone limity pożyczkowe, adresy, a w kilku firmach także krajowe numery identyfikacyjne.

W dniu 6 października 2026 r., prezydent Lee Jae Myung powiedział na posiedzeniu rządu, że „w niektórych incydentach hakerskich pojawiły się oznaki wykorzystania AI, co wywołuje znaczne zaniepokojenie i niepokój społeczny” – według Reutersa, cytowanego przez American Banker. Nie wskazał modelu ani narzędzia. Śledczy mieli już jedno: ARTEX, autonomiczny system testów penetracyjnych typu open source, zbudowany do uruchamiania wielu agentów AI przeciwko celowi. Ocena Financial Security Institute przekazana Herald Business mówi, że AI „nie działała samodzielnie, bez udziału człowieka”.

Drzwi boczne, a nie skarbiec

Żadne z siedmiu naruszeń nie sięgnęło bankowości rdzeniowej. Przepisy koreańskie wymagają, aby systemy rdzeniowe banków były fizycznie oddzielone od sieci zewnętrznych, a Financial Security Institute powiedział Herald Business, że każdy zbadany atak dotknął wewnętrznych systemów pracowniczych lub partnerskich. Systemy te przechowują duże ilości danych klientów i – jak przyznaje sam instytut – „były zarządzane mniej rygorystycznie” niż aplikacje konsumenckie.

• Shinhan Bank — usługa sprawdzania postępu kredytu stworzona dla pośredników kredytowych, zewnętrznych agentów, którzy polecają kredytobiorców. Około 25 000 klientów zostało dotkniętych, według komunikatu banku z 1 października, w którym wymieniono nazwiska, numery telefonów, roczne dochody i wyliczone limity kredytowe. Koreańskie media podały później, że liczba ta wynosi 25 727. Tech Times poinformował, że skradziono również 66 numerów krajowych dokumentów tożsamości i 97 identyfikatorów CI; te liczby nie pojawiają się w komunikacie banku.

• KB Kookmin Bank — system mobilnego wsparcia pracy dla pracowników. American Banker poinformował, że dotyczy to 99 klientów i 20 obecnych lub byłych pracowników; koreańskie media podały dokładnie 119. Tech Times poinformował, że ujawniono nazwiska, numery telefonów, adresy i zaszyfrowane krajowe numery identyfikacyjne, a wykrycie zajęło około 43 godzin.

• Hana Bank — system wsparcia sprzedaży dla pracowników znany jako ODS, ujawniający dane 89 klientów: numery identyfikacji krajowej, imiona i nazwiska, adresy, adresy e-mail oraz numery telefonów, według Tech Times.

• BNK Busan Bank — strony internetowe z „niewystarczającą walidacją sesji”, jak ujmuje to bank w wypowiedzi dla Yonhap, ujawniając dane na temat 11 zewnętrznych programistów.

• Yegaram Savings Bank — serwer przechowujący dane klientów; około 40 000 osób, największa pojedynczo ujawniona liczba ofiar. Bank już wcześniej zamieścił komunikat, że niezidentyfikowany haker uzyskał dostęp i spowodował wyciek, poinformował Herald Business.

• Welcome Savings Bank — ponad 2 200 rekordów klientów korporacyjnych, według zestawienia Kyunghyang Shinmun opartego na briefingu władz z 4 października.

• Hyundai Capital — strona wyszukiwania pośredników kredytów hipotecznych, ujawniająca 146 pośredników, według Tech Times i Seoul Shinmun.

Warto powiedzieć wprost dwie rzeczy o tej arytmetyce. 66 000 to nie jest liczba opublikowana przez jakiegokolwiek regulatora; to suma siedmiu odrębnych ujawnień na poziomie instytucji, która zmieniała się w pierwszym tygodniu października, gdy firmy kończyły przeglądy logów. 3 października Herald Business podał potwierdzoną sumę jako „nieco poniżej 26 000”, zanim dodano około 40 000 od Yegaram. Tech Times w artykule z 5 października napisał, że potwierdzona liczba przekroczyła 65 000 i oczekuje się jej wzrostu. Archiwum odnotowuje zakres od 65 000 do 68 000. Osobno Financial Security Institute powiedział Herald Business, że „zaatakowano znacznie więcej instytucji niż tych, w których doszło do rzeczywistych incydentów”, w tym organizacje spoza bankowości — stwierdzenie, którego nie skwantyfikowano.

Jak tytuł strony stał się atrybucją

Powiązanie z ARTEX nie pochodziło z przyznania się atakujących. Pochodziło z ciągu znaków w nagłówku strony internetowej. 2 października Moon Jong-hyun, szef Genians Security Center, poinformował, że serwery internetowe wykorzystywane w atakach na wiele koreańskich celów miały tytuł HTML ARTEX-自主渗透测试控制台 — w przybliżeniu „ARTEX autonomiczna konsola do testów penetracyjnych” — według Kyunghyang Shinmun. Był to dowód poszlakowy: nazwa narzędzia w tytule strony pokazuje, że serwer uruchamiał to narzędzie, a nie że narzędzie dokonało kradzieży.

Instytut Bezpieczeństwa Finansowego wykonał następnie tę część, która miała największe znaczenie. Urzędnik instytutu powiedział Herald Business, że śledczy prześledzili adresy IP atakujących i logi serwerów Shinhan Bank — pierwszej instytucji, która zgłosiła incydent — i znaleźli dowody wskazujące na ARTEX, a ruch generowany przez to narzędzie niesie „specyficzny podpis danych wspólny” dla niego, i to na tej podstawie zidentyfikowano atakujących u różnych ofiar. Prezes instytutu Park Sang-won powiedział dziennikarzom, że adresy IP atakujących były „prawie takie same w przypadku banków, a nieco inne w przypadku banków oszczędnościowych”, i ostrzegł, że nie ustala to, kto za tym stał: „ARTEX jest open-source i publicznie dostępny na całym świecie” — powiedział. „Adresy IP atakujących mogą być kierowane przez różne miejsca, więc same adresy IP nie pozwalają zidentyfikować atakującego”. Według Kyunghyang Shinmun wykorzystano adresy IP z ośmiu krajów.

Niezależna rekonstrukcja przeprowadzona przez CrowdStrike, opublikowana 7 października, poszła dalej niż jakikolwiek koreański serwis informacyjny. Jej zespół Counter Adversary Operations znalazł otwarte katalogi na serwerach kontrolowanych przez atakujących — jeden pod 38.244.50[.]120, który hostował instancję ARTEX i plik konfiguracyjny C​laude Code zawierający chińskojęzyczny prompt do testów penetracyjnych, oraz adres w Hongkongu, który zawierał historie sesji C​laude Code, pliki konfiguracyjne ARTEX i pliki pamięci C​laude. Katalogi nigdy nie były zablokowane. CrowdStrike przeczytał robocze notatki operacji.

Konfiguracja ujawniona przez te notatki jest konkretna: instancja ARTEX używała DeepSeek v4.1-flash jako swojego głównego backendu modelu, wraz z GLM-5.3 od Zhipu AI i Grok 4.6 dodanymi na potrzeby innych sesji Claude Code, a operator prawdopodobnie dotarł do DeepSeek przez resellera, którego CrowdStrike nazywa xcai[.]pro. To odmienny obraz niż w dokumentacji samego ARTEX: American Banker zauważył, że strona narzędzia na GitHubie opisuje je jako działające na modelach Anthropic lub OpenAI. Narzędzie nie dostarcza modelu; dostarcza harness, a inteligencję zapewnia ten, kto nim operuje.

CrowdStrike przyłapało również operatora na czymś innym niż włamanie. W sesjach, które odzyskało, użytkownik zapytał Claude'a, gdzie aktorzy zagrożeń zwykle sprzedają koreańskie dane z naruszeń, oraz poprosił o pomoc w znalezieniu koreańskich grup na Telegramie, które je sprzedają. W innej sesji użytkownik poprosił Claude'a o przygotowanie CV badacza bezpieczeństwa zawierającego wyniki prac ARTEX. CrowdStrike podało, że dane osobowe zawarte w tym poleceniu „prawdopodobnie należą do aktora zagrożenia”, ale „obecnie dostępne informacje nie pozwalają definitywnie powiązać tych danych z aktorem zagrożenia”. Security Affairs, które opisało raport, poszło dalej i przekonywało, że tych danych nie należy w ogóle powtarzać w artykule informacyjnym. Nie są one tutaj powtarzane.

Czym ARTEX właściwie jest

ARTEX to napędzany wielkim modelem językowym, wieloagentowy autonomiczny system testów penetracyjnych, udostępniony na GitHubie pod pseudonimem dewelopera Autumn-27. Według analizy jego repozytorium przeprowadzonej przez Kyunghyang Shinmun, został opublikowany 26 lipca 2026, zajął pierwsze miejsce wśród około 150 zespołów w konkursie cyberataków i cyberobrony organizowanym przez B​aidu 3 września, a swoją najnowszą wersję wydał 24 września — trzy dni przed pierwszym koreańskim włamaniem, które gazeta datuje na 27 września. Został zbudowany do autoryzowanych testów bezpieczeństwa, takich jakie kupują banki: znaleźć dziury, zanim zrobi to ktoś inny.

Po tym jak kampania stała się publiczna, Autumn-27 przeniósł go do zamkniętego kodu źródłowego. „ARTEX został pierwotnie zaprojektowany w celach nauki i badań” – powiedział deweloper w oświadczeniu, o którym poinformował The Hacker News. „W obliczu rzeczywistości nadużywania narzędzi projekt ARTEX nie będzie już aktualizowany i zostanie przekształcony w zamknięty kod źródłowy. W przyszłości nie będzie żadnego wydania żadnej wersji ani wsparcia serwisowego”. Zamknięcie repozytorium nie powoduje wycofania kopii, które już pobrano, a stanowisko Financial Security Institute przekazane Herald Business było takie, że ARTEX nie jest wyjątkowy: „Istnieje bardzo wiele narzędzi AI o otwartym kodzie źródłowym, takich jak ARTEX. Obecnie nie ma sposobu, aby ograniczyć wszystko, co jest rozwijane i dystrybuowane na całym świecie”.

Co jest ustalone, a co nie

To tutaj zapis wynagradza uważnego czytelnika, ponieważ części pewne i niepewne leżą blisko siebie.

Ustalono: siedem wymienionych instytucji padło ofiarą naruszeń danych między końcem września a początkiem października 2026 r.; intruzi dotarli do systemów pomocniczych, a nie do podstawowych systemów bankowych; ujawnione straty obejmują łącznie około 66 000 indywidualnych rekordów oraz około 2200 rekordów korporacyjnych; Financial Security Institute prześledził logi Shinhan i znalazł ARTEX; CrowdStrike niezależnie znalazł infrastrukturę ARTEX, pliki konfiguracyjne i historie sesji LLM na serwerach kontrolowanych przez atakujących; a ocena instytutu jest taka, że człowiek kierował narzędziem.

Nie ustalono:kto to zrobił. CrowdStrike nie przypisała kampanii żadnemu nazwanemu przeciwnikowi i oceniła jedynie z umiarkowaną pewnością, że operator jest osobą mówiącą po chińsku, motywowaną finansowo — osąd oparty na użyciu narzędzia opracowanego w Chinach i poleceń w języku chińskim, z których oba są słabymi sygnałami co do narodowości. Kyunghyang Shinmun zacytował Park Chun-sika z Uniwersytetu Ajou, który zwrócił uwagę na oczywisty fakt, że wyrafinowane grupy kierują ruch przez wiele krajów właśnie po to, aby przełamać tę dedukcję. Nie ustalono również, że ARTEX był używany we wszystkich siedmiu włamaniach, jedynie że zidentyfikowano go w atakach na banki oraz że banki oszczędnościowe zostały zaatakowane w podobny sposób.

Sporny w szczegółach: jak doszło do włamania do Shinhan. Yonhap opisał credential stuffing; Dong-A Ilbo, opierając się na raporcie o incydencie, który Shinhan przekazał parlamentarzyście, opisał enumerację — wprowadzanie losowych numerów klientów do usługi wyszukiwania, aż niektóre zwróciły dane — przez około 30 godzin od 28 września. Poza sporem pozostaje rezultat: krok weryfikacji za pomocą telefonu komórkowego został ominięty i nikt nie wyjaśnił, w jaki sposób. Komunikat Shinhanu mówi jedynie, że „nieuprawniona osoba z zewnątrz” dotarła do niektórych usług „nienormalnymi środkami”.

Niepotwierdzone formalnie przez regulatora: sama atrybucja ARTEX. Ustalenie Financial Security Institute trafiło do opinii publicznej za pośrednictwem oficjalnego przedstawiciela, który rozmawiał z Herald Business, a American Banker zauważył bez ogródek, że „żaden regulator nie wskazał publicznie ARTEX jako zaangażowanego w atak”. To rozróżnienie ma mniejsze znaczenie, niż brzmi — instytut jest agencją ds. cyberbezpieczeństwa w sektorze, a jego prezes omawiał sprawę z reporterami — ale to różnica między ustaleniem agencji a jej oficjalnym powiadomieniem, i dokumentacja to odnotowuje.

Co się potem zmieniło?

Reakcja organów regulacyjnych była szybka i, jak na koreańskie standardy, wyjątkowo szeroka. Komisja Usług Finansowych zwołała nadzwyczajne posiedzenia w piątek 2 października i w niedzielę 4 października i nakazała firmom finansowym sporządzenie inwentaryzacji wszystkich systemów dostępnych z internetu, „niezależnie od tego, czy są przeznaczone dla klientów”, a luki mają zostać usunięte do 8 października, podała agencja Yonhap. Poinformowano firmy, że dane o kredytach osobistych nie mogą być „niepotrzebnie przechowywane ani dostępne do wglądu” w systemach używanych przez pracowników oraz przez „osoby z zewnątrz, takie jak rekruterzy kredytowi i zewnętrzni wykonawcy”, co nazwano „przyczyną ostatnich wtargnięć”. Policja wszczęła formalne dochodzenie, a Instytut Bezpieczeństwa Finansowego rozpoczął przygotowywanie rekomendacji, by firmy przeprowadzały audyt wszystkich wewnętrznych systemów dla pracowników wśród swoich punktów dostępu zewnętrznego.

Ostrzeżenie dla konsumentów wydane przez komisję 6 października głosiło, że atakujący nie uzyskali haseł ani kodów jednorazowych i że żaden klient nie stracił pieniędzy, ostrzegało jednak, że skradzione dane o dochodach i kredytach ułatwiały tworzenie przekonujących fałszywych ofert pożyczek. Dyrektor Instytutu Bezpieczeństwa Finansowego spodziewał się tego samego: „Atakujący nie przejęli systemów — weszli do nich i wydobyli informacje, odpytując je” — powiedział urzędnik gazecie „Herald Business”. „Wyciekłe dane osobowe mogą zostać wykorzystane do phishingu głosowego i podobnych oszustw, ale nie spodziewamy się, aby środki były bezpośrednio przelewane z kont”.

Najistotniejsza zmiana to ta, którą odnotowuje zapis, a którą komplikuje koreańskie relacjonowanie. Regulatorzy łagodzili separację sieci — zasadę, która utrzymuje systemy biznesowe banków fizycznie odizolowane od sieci zewnętrznych — aby umożliwić firmom korzystanie z narzędzi bezpieczeństwa AI. Przyjęto pierwszą grupę firm, a druga runda miała zostać wybrana spośród 75 wnioskodawców, maksymalnie 15, dnia 7 października. Tracker poinformował 21 października, że komisja odroczyła ten wybór, powołując się na pracowników oddelegowanych do reagowania na incydenty, oraz że nie wyznaczono daty wznowienia; poinformował także, że komisja utrzymuje, iż nie porzuciła samej polityki. Ten niuans jest spójny z tym, co przewodniczący Komisji Usług Finansowych Lee Eok-won powiedział 8 października podczas audytu parlamentarnego, jak podała agencja Yonhap: że aby powstrzymać ataki napędzane przez AI, „ostatecznie trzeba użyć AI”, oraz że komisja badała „stopniowe i skuteczne sposoby” zmiany zasad separacji. Druga runda się przesunęła; kierunek polityki nie odwrócił się w widoczny sposób.

Odpowiedzialność również się przesunęła. The Tracker poinformował, że gubernator Financial Supervisory Service Lee Chan-jin powiedział temu samemu audytowi 19 października, że ta sprawa może stać się pierwszą, w której odpowiedzialność prezesa za kontrolę wewnętrzną zostanie formalnie zbadana w związku z incydentem cybernetycznym, oraz że służba rozważa silniejszą odpowiedzialność CISO i CEO. Ani banki, ani regulator nie opublikowały raportu o przyczynach źródłowych.

Jak archiwum to archiwizuje

Rekord jest incydentem — zdarzeniem, które faktycznie nastąpiło, a nie prognozą — z datą 6 października 2026, dnia, w którym prezydent potwierdził sygnał AI, i dnia, w którym ukazało się ostrzeżenie konsumenckie komisji. Poziom ważności to krytyczny; znaczniki typu to WEAPON i EXFIL, co oznacza narzędzie wykorzystane ponownie jako instrument ataku i wyniesione dane. Rzeczywista szkoda jest zapisana jako prawda, udział AI jest potwierdzony, a ocena pewności to A — dobrze udokumentowana, ze zgodnymi źródłami pierwotnymi. Rekord nie jest oznaczony jako sporny.

Ta ocena zasługuje na dokładne odczytanie. Mówi, że samo zdarzenie i jego kształt są dobrze poświadczone: naruszenia, systemy, liczby, narzędzie, ludzkie kierowanie. Nie mówi, że operator został zidentyfikowany, ponieważ nikt nie zidentyfikował operatora, i nie zamienia ustalenia instytutu w komunikat organu regulacyjnego. Jedyna rzecz, którą ta sprawa ustala poza własnymi liczbami, jest węższa i bardziej użyteczna: agent open source zbudowany do autoryzowanych testów został skierowany przeciwko siedmiu firmom finansowym, obniżył umiejętności wymagane do przeprowadzenia kampanii wymierzonej w wiele celów w ciągu niecałego tygodnia, a tym, co go powstrzymało, nie był sprytny model, lecz instytut, który zauważył tytuł strony, i bank, który przeczytał własne logi.

Ten wpis znajduje się obok innych udokumentowanych incydentów AI w archiwum incydentów AI, gdzie każdy wpis zawiera własne źródła, poziom dotkliwości, stopień pewności i oznaczenie sporności.