Sju sydkoreanska banker utsattes för intrång med en AI-pentestagent med öppen källkod – utredare säger att en människa fortfarande styrde den

Mellan 28 september och de första dagarna i oktober 2026, tog sig inkräktare in hos minst sju sydkoreanska finansinstitut – Shinhan Bank, KB Kookmin Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank och Hyundai Capital – och gick därifrån med personuppgifterna för omkring 66 000 personer, samt cirka 2 200 företagsuppgifter, enligt siffror som instituten offentliggjorde och koreanska medier sammanställde. Inga pengar flyttades: Financial Services Commission uppgav att angriparna varken tog lösenord eller engångskoder för autentisering, och bekräftade att ingen kund hade förlorat pengar. Det de tog var råmaterialet för bedrägerier – namn, telefonnummer, årsinkomster, beräknade lånegränser, adresser och, hos flera av företagen, nationella identitetsnummer.

Den 6 oktober 2026, sade president Lee Jae Myung vid ett kabinettsmöte att "vid vissa hackincidenter har det framkommit tecken på att AI används, vilket väcker betydande allmän oro och ängslan", enligt Reuters, som citeras av American Banker. Han nämnde ingen modell eller något verktyg. Utredarna hade redan ett: ARTEX, ett autonomt penetrationstestningssystem med öppen källkod som är byggt för att köra flera AI-agenter mot ett mål. Financial Security Institutes bedömning, som lämnats till Herald Business, är att AI:n "inte agerade självständigt utan mänsklig inblandning."

Sidodörrarna, inte valvet

Ingen av de sju intrången nådde kärnbankverksamheten. Sydkoreansk reglering kräver att bankernas kärnsystem är fysiskt separerade från externa nätverk, och Financial Security Institute sade till Herald Business att varje attack som institutet granskade i stället drabbade interna system som riktar sig till anställda eller partner. Dessa system innehåller stora mängder kunddata och hade, enligt institutets eget medgivande, "hanterats mindre rigoröst" än konsumentapparna.

• Shinhan Bank — en tjänst för att slå upp låneärenden, byggd för lånevärvare, externa agenter som förmedlar låntagare. Omkring 25 000 kunder berördes, enligt bankens meddelande den 1 oktober, som angav namn, telefonnummer, årsinkomster och beräknade lånegränser. Koreanska medier uppgav senare siffran till 25 727. Tech Times rapporterade att 66 nationella ID-nummer och 97 CI-identifierare också hade röjts; dessa siffror finns inte i bankens meddelande.

• KB Kookmin Bank — ett mobilt arbetsstödssystem för anställda. American Banker rapporterade att 99 kunder och 20 nuvarande eller tidigare anställda hade drabbats; koreanska medier rapporterade en oförändrad siffra på 119. Tech Times uppgav att namn, telefonnummer, adresser och krypterade nationella identitetsnummer exponerades, och att upptäckten tog cirka 43 timmar.

• Hana Bank — ett säljstödsystem för anställda känt som ODS, som exponerade 89 kunder: nationella ID-nummer, namn, adresser, e-postadresser och telefonnummer, enligt Tech Times.

• BNK Busan Bank — webbsidor med "otillräcklig sessionsvalidering", enligt bankens egna ord till Yonhap, som exponerade uppgifter om 11 externa utvecklare.

• Yegaram Savings Bank – en server som innehöll kunduppgifter; ungefär 40 000 personer, det största enskilda antal drabbade som offentliggjorts. Banken hade redan gått ut med ett meddelande om att en oidentifierad hackare hade fått åtkomst och orsakat en läcka, rapporterade Herald Business.

• Welcome Savings Bank — mer än 2 200 register över företagskunder, enligt Kyunghyang Shinmuns sammanställning av myndigheternas briefing den 4 oktober.

• Hyundai Capital — söksidan för bolåneförmedlare, som visar 146 förmedlare, enligt Tech Times och Seoul Shinmun.

Två saker om räkningen förtjänar att sägas rakt ut. Siffran 66,000 är inte ett tal som någon tillsynsmyndighet har publicerat; den är summan av sju separata upplysningar på institutionsnivå, och den ändrades under första veckan i oktober när företagen slutförde sina granskningar av loggar. Den 3 oktober angav Herald Business den bekräftade totalsumman till "strax under 26,000", innan Yegarams cirka 40,000 lades till. Tech Times skrev den 5 oktober att det bekräftade antalet hade passerat 65,000 och förväntades öka. Arkivet anger intervallet till 65,000–68,000. Vid sidan av detta sade Financial Security Institute till Herald Business att "betydligt fler institutioner utsattes för attacker än de som till slut fick faktiska incidenter", inklusive organisationer utanför banksektorn – ett uttalande som inte har kvantifierats.

Hur en sidtitel blev en attribuering

ARTEX-kopplingen kom inte från angriparnas bekännelse. Den kom från en sträng i en webbsidas sidhuvud. Den 2 oktober skrev Moon Jong-hyun, chef för Genians Security Center, att webbservrar som använts i attacker mot flera koreanska mål bar HTML-titeln "ARTEX-自主渗透测试控制台" – ungefär "ARTEX autonom konsol för penetrationstestning" – enligt Kyunghyang Shinmun. Det var indiciebevisning: ett verktygsnamn i en sidtitel visar att en server körde verktyget, inte att verktyget utförde stölden.

Financial Security Institute gjorde sedan den del som verkligen betydde något. En tjänsteman vid institutet uppgav för Herald Business att utredarna spårade attack-IP-adresserna och serverloggarna från Shinhan Bank – den första institutionen som rapporterade – och hittade bevis som pekade mot ARTEX, och att trafik från verktyget bär "en specifik datasignatur som är gemensam" för det, vilket är hur angriparna identifierades över olika offer. Institutets president Park Sang-won sade till reportrar att attack-IP-adresserna var "nästan desamma för bankerna, och lite annorlunda för sparbankerna", och varnade för att detta inte fastställer vem som låg bakom: "ARTEX är öppen källkod och allmänt tillgängligt världen över", sade han. "Attack-IP-adresser kan dirigeras via olika platser, så enbart IP-adresserna kan inte identifiera angriparen." IP-adresser från åtta länder användes, enligt Kyunghyang Shinmun.

CrowdStrikes oberoende rekonstruktion, publicerad den 7 oktober, gick längre än någon koreansk mediekanal. Dess Counter Adversary Operations-team hittade öppna kataloger på angriparkontrollerade servrar – en på 38.244.50[.]120, som var värd för en ARTEX-instans och en konfigurationsfil för C​laude Code som innehöll en pentesting-prompt på kinesiska, och en Hongkong-adress som innehöll sessionshistorik för C​laude Code, ARTEX-konfigurationsfiler och C​laude-minnesfiler. Katalogerna var aldrig låsta. CrowdStrike läste operationens arbetsanteckningar.

Den konfiguration som de anteckningarna avslöjade är specifik: ARTEX-instansen använde DeepSeek v4.1-flash som sin primära modellbackend, med GLM-5.3 från Z​hipu AI och Grok 4.6 tillagda för andra C​laude Code-sessioner, och operatören nådde sannolikt D​eepSeek via en återförsäljare som CrowdStrike kallar xcai[.]pro. Det är en annan bild än i ARTEX:s egen dokumentation: American Banker noterade att verktygets GitHub-sida beskriver det som att det körs på modeller från A​nthropic eller O​penAI. Verktyget levererar inte någon modell; det levererar ett ramverk, och den som driver det tillhandahåller intelligensen.

CrowdStrike upptäckte också att operatören gjorde något annat än att göra intrång. I de sessioner som företaget återställde frågade användaren Claude var hotaktörer vanligtvis säljer koreanska intrångsdata och bad om hjälp att hitta koreanska Telegram-grupper som säljer dem. I en annan bad användaren Claude att ta fram ett cv för en säkerhetsforskare som listade resultaten från ARTEX-arbetet. CrowdStrike uppgav att personuppgifterna i den prompten ”sannolikt tillhör hotaktören” men att ”nu tillgänglig information inte med säkerhet kan koppla dessa uppgifter till hotaktören”. Security Affairs, som rapporterade om rapporten, gick längre och hävdade att dessa uppgifter inte alls borde upprepas i en nyhetsartikel. De upprepas inte här.

Vad ARTEX egentligen är

ARTEX är ett autonomt penetrationstestningssystem med flera agenter som drivs av stora språkmodeller, släppt på GitHub under utvecklarens användarnamn Autumn-27. Enligt Kyunghyang Shinmuns genomgång av dess kodförråd publicerades det 26 juli 2026, tog förstaplatsen bland omkring 150 lag i en cyberanfalls- och försvarstävling som arrangerades av B​aidu den 3 september och släppte sin senaste version den 24 september – tre dagar före det första koreanska intrånget som tidningen daterar till 27 september. Det byggdes för auktoriserad säkerhetstestning, den typ som banker köper: hitta hålen innan någon annan gör det.

Efter att kampanjen blev offentlig gjorde Autumn-27 det till sluten källkod. "ARTEX utformades ursprungligen för lärande och forskning", sade utvecklaren i ett uttalande som rapporterades av The Hacker News. "Med tanke på verkligheten med missbruk av verktyget kommer ARTEX-projektet inte längre att uppdateras och kommer att omvandlas till sluten källkod. Det kommer inte att ges någon version eller något underhållsstöd i framtiden." Att stänga förvaret återkallar inte de kopior som redan har laddats ner, och Financial Security Institutes påpekande till Herald Business var att ARTEX inte är något speciellt: "Det finns väldigt många AI-verktyg med öppen källkod som ARTEX. För närvarande finns det inget sätt att begränsa allt som utvecklas och distribueras runt om i världen."

Vad är fastställt, och vad är inte det

Det är här som materialet belönar en noggrann läsare, eftersom de säkra delarna och de osäkra delarna ligger tätt intill varandra.

Fastställt: sju namngivna institutioner drabbades av dataintrång mellan slutet av september och början av oktober 2026; intrångsaktörerna nådde stödsystem snarare än kärnbankverksamheten; de redovisade förlusterna omfattar cirka 66 000 enskilda poster plus omkring 2 200 företagsposter; Financial Security Institute spårade Shinhans loggar och hittade ARTEX; CrowdStrike fann självständigt ARTEX-infrastruktur, konfigurationsfiler och LLM-sessionshistorik på servrar som kontrollerades av angripare; och institutets bedömning är att en människa styrde verktyget.

Ej fastställt:vem som gjorde det. CrowdStrike tillskrev inte kampanjen någon namngiven motståndare och bedömde med endast måttlig tillförsikt att operatören är kinesisktalande och ekonomiskt motiverad – en bedömning som grundade sig på användningen av ett kinesiskt utvecklat verktyg och kinesiskspråkiga prompter, vilka båda är svaga signaler för nationalitet. Kyunghyang Shinmun citerade Park Chun-sik vid Ajou University, som framförde den uppenbara poängen att sofistikerade grupper dirigerar via flera länder just för att bryta den slutledningen. Det är inte heller fastställt att ARTEX användes vid alla sju intrången, bara att det identifierades i attackerna mot bankerna och att sparbankerna attackerades på ett liknande sätt.

Omstritt i kanterna: hur intrånget hos Shinhan gick till. Yonhap beskrev credential stuffing; Dong-A Ilbo, som utgick från en incidentrapport som Shinhan gav en parlamentsledamot, beskrev enumeration – att mata in slumpmässiga kundnummer i uppslagningstjänsten tills några returnerade data – under cirka 30 timmar från den 28 september. Det som inte är omstritt är resultatet: ett verifieringssteg via mobiltelefon kringgicks, och ingen redogörelse har förklarat hur. Shinhans meddelande säger bara att en "obehörig utomstående" nådde vissa tjänster "genom onormala metoder".

Inte formellt bekräftat av en tillsynsmyndighet: själva tillskrivningen till ARTEX. Financial Security Institutes slutsats nådde allmänheten genom en tjänsteman som talade med Herald Business, och American Banker konstaterade torrt att "ingen tillsynsmyndighet har offentligt namngett ARTEX som inblandat i attacken." Den distinktionen spelar mindre roll än den låter – institutet är sektorns cybermyndighet och dess ordförande diskuterade fallet med reportrar – men det är skillnaden mellan en myndighets slutsats och en myndighets underrättelse, och det står fast i protokollet.

Vad förändrades efteråt?

Myndighetsresponsen var snabb och, med koreanska mått mätt, ovanligt bred. Financial Services Commission höll krismöten fredagen den 2 oktober och söndagen den 4 oktober och beordrade finansföretag att inventera varje internetexponerat system "oavsett om det är kundvänt", med brister som skulle åtgärdas till 8 oktober, enligt Yonhap. Den uppmanade företagen att personliga kreditdata inte fick "lagras eller vara synliga i onödan" i system som används av anställda och av "extern personal såsom lånevärvare och outsourcade entreprenörer", vilket den kallade "orsaken till de senaste intrången". Polisen inledde en formell utredning, och Financial Security Institute började utarbeta en rekommendation om att företag ska granska alla interna system som är avsedda för anställda bland sina externa åtkomstpunkter.

Kommissionens konsumentvarning, som utfärdades den 6 oktober, uppgav att angriparna inte hade fått tag i lösenord eller engångskoder och att ingen kund hade förlorat pengar, men varnade för att de stulna inkomst- och låneuppgifterna gjorde det enkelt att konstruera övertygande falska låneerbjudanden. Direktören för Financial Security Institute förväntade sig samma sak: "Angriparen tog inte över systemen – de tog sig in och extraherade information genom att fråga efter den", sade tjänstemannen till Herald Business. "De läckta personuppgifterna skulle kunna användas för röstfiske och liknande bedrägerier, men vi förväntar oss inte att pengar direkt överförs ut från konton."

Den mest betydelsefulla förändringen är en som dokumentationen redovisar och den koreanska rapporteringen komplicerar. Tillsynsmyndigheterna hade mjukat upp nätverksseparationen – regeln som håller bankernas affärssystem fysiskt isolerade från externa nätverk – för att låta företag använda AI-säkerhetsverktyg. En första grupp företag antogs, och en andra omgång skulle väljas bland 75 sökande, med ett tak på 15, den 7 oktober. The Tracker rapporterade den 21 oktober att kommissionen sköt upp urvalet, med hänvisning till att personal dragits in i incidenthantering, och att inget datum för återupptagande har fastställts; den rapporterade också att kommissionen hävdar att den inte har övergett själva policyn. Den nyansen stämmer överens med vad Lee Eok-won, ordförande för Financial Services Commission, sade vid en parlamentarisk granskning den 8 oktober, enligt Yonhap: att för att stoppa AI-drivna attacker ”till slut måste man använda AI”, och att kommissionen undersökte ”etappvisa och effektiva sätt” att ändra separationsreglerna. Den andra omgången försenades; politikens inriktning vände inte märkbart.

Ansvarsskyldigheten flyttades också. The Tracker rapporterade att chefen för Financial Supervisory Service, Lee Chan-jin, den 19 oktober uppgav för samma granskning att detta fall kan bli det första där en verkställande direktörs ansvar för intern kontroll formellt prövas med anledning av en cyberincident, och att myndigheten överväger ett starkare ansvarsutkrävande för CISO:er och CEO:er. Varken bankerna eller tillsynsmyndigheten har publicerat någon rotorsaksrapport.

Hur arkivet arkiverar det

Posten är en incident — en inträffad händelse, inte en prognos — daterad 6 oktober 2026, dagen då presidenten bekräftade AI-signalen och dagen då kommissionens konsumentvarning gick ut. Allvarlighetsgraden är kritisk; typtaggarna är WEAPON och EXFIL, vilket innebär ett verktyg som återanvänts som attackinstrument och data som förts ut. Faktisk skada är registrerad som sann, AI-inblandning är bekräftad, och konfidensgraden är A — väl dokumenterad, med primärkällor som stämmer överens. Posten är inte flaggad som omtvistad.

Det omdömet är värt att läsas noggrant. Det säger att händelsen och dess form är väl belagda: intrången, systemen, antalen, verktyget, den mänskliga styrningen. Det säger inte att operatören har identifierats, eftersom ingen har identifierat operatören, och det förvandlar inte ett instituts fynd till ett meddelande från en tillsynsmyndighet. Det enda detta fall fastställer bortom sina egna siffror är snävare och mer användbart: en öppen källkodsagent byggd för auktoriserad testning riktades mot sju finansföretag, den sänkte den kompetens som krävdes för att driva en kampanj mot flera mål på under en vecka, och det som stoppade den var inte en smart modell utan ett institut som lade märke till en sidtitel och en bank som läste sina egna loggar.

Den här posten finns tillsammans med de andra dokumenterade AI-incidenterna i AI-incidentarkivet, där varje post har sina egna källor, allvarlighetsgrad, konfidensgrad och flagga för omtvistad status.