Włamania do koreańskich banków. Śledczy badają ślady narzędzia AI

Co się stało w koreańskich bankach

Pierwsze ujawnienia pojawiły się na początku października. Shinhan Bank, czwarty co do wielkości bank w Korei Południowej, poinformował o wycieku danych około 25 tys. klientów, którzy składali wnioski kredytowe przez pośredników. W kolejnych dniach podobne incydenty zgłosiły KB Kookmin Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank i Hyundai Capital.

Według Seoul Economic Daily we wszystkich siedmiu przypadkach pojawił się ten sam adres IP napastnika. Atakujący korzystali też z rotowanych adresów w Korei, USA, Japonii, Hongkongu, Singapurze, Wietnamie, Tajlandii i Wielkiej Brytanii. Korea Herald podaje, że próby włamania do Woori Bank i NH NongHyup Bank zostały zablokowane.

Ile danych wyciekło i jak szybko wykryto ataki

Skala wycieku różni się między instytucjami. Część relacji podaje nieco inne liczby dla mniejszych przypadków, dlatego w tabeli wskazujemy źródło. Czas wykrycia pochodzi z danych przytoczonych przez Korea JoongAng Daily.

• Shinhan Bank: ok. 25,7 tys. klientów, wykrycie po 15 godz. 26 min.
• Yegaram Savings Bank: ok. 40 tys. klientów.
• Welcome Savings Bank: ok. 2,2 tys. rekordów firmowych.
• Hyundai Capital: dane pośredników kredytów hipotecznych, według Korea Herald 146 osób.
• KB Kookmin Bank: 119 klientów według Bloomberga, 153 osoby według Korea Herald, wykrycie po 67 godz. 41 min.
• Hana Bank: 89 klientów, wykrycie po 41 godz. 44 min.
• BNK Busan Bank: dane 11 zewnętrznych programistów.

Jaką rolę mogło odegrać narzędzie AI

Artex to według koreańskich mediów chińska platforma do autonomicznych testów penetracyjnych zbudowana na dużych modelach językowych. Takie narzędzie samo wyszukuje słabe punkty systemu, przeprowadza próbę włamania i na podstawie wyniku wybiera kolejną metodę. Seoul Economic Daily pisze, że na serwerze WWW jednej z ofiar znaleziono chiński napis oznaczający autonomiczną konsolę testów penetracyjnych Artex.

Ślady narzędzia nie przesądzają o tym, kto stoi za atakiem ani jak duża była rola AI. Przewodniczący FSC Lee Eog-weon powiedział jedynie, że nie można wykluczyć ataków z użyciem AI. Eksperci cytowani przez Bloomberga zwracają uwagę, że narzędzia tworzone do obrony i publikowane jako otwarte oprogramowanie łatwo przerobić na narzędzia ataku.

Według Seoul Economic Daily napastnicy nie łamali haseł klientów. Wykorzystali braki uwierzytelniania w systemach do sprawdzania informacji, brak kontroli dostępu z urządzeń mobilnych i niezałatane podatności aplikacji internetowych. To podstawowe zaniedbania, które automatyczne narzędzie może przeskanować w wielu instytucjach jednocześnie.

Jak zareagował regulator

Komisja Usług Finansowych zwołała w niedzielę 4 października nadzwyczajne posiedzenie. Nadzór finansowy (FSS) rozpoczął kontrolę na miejscu w Shinhan Bank i rozesłał około 500 instytucjom listę złośliwych adresów IP. Firmy mają do czwartku 8 października przeprowadzić pilne przeglądy bezpieczeństwa, naprawić wadliwe uwierzytelnianie i ograniczyć dostęp z zewnątrz do systemów, które go nie wymagają.

Korea Herald zestawił też wydatki banków na cyberbezpieczeństwo w 2026 roku. Shinhan Bank przeznaczył na ten cel 40,59 mld wonów, najmniej z czterech największych banków. KB Kookmin wydał 86,07 mld wonów. Shinhan Bank w oświadczeniu przytoczonym przez Bloomberga zaznaczył, że nie jest w stanie oszacować wpływu incydentu na swoją sytuację finansową.

Co to oznacza dla Polski

Polskie banki podlegają unijnemu rozporządzeniu DORA, które od 17 stycznia 2025 roku wymaga zarządzania ryzykiem teleinformatycznym, testów odporności i zgłaszania poważnych incydentów do nadzoru. W naszej ocenie koreański przypadek pokazuje, że automatyzacja ataków podnosi koszt drobnych zaniedbań: niezabezpieczony formularz u pośrednika kredytowego może zostać znaleziony w kilka godzin.

Dla klientów największym ryzykiem po takim wycieku są dopasowane oszustwa telefoniczne. Przestępca, który zna dochód i limit kredytowy ofiary, brzmi wiarygodnie, a generatywna AI ułatwia podrabianie głosu i przygotowanie scenariusza rozmowy.

1. Zastrzeż numer PESEL w aplikacji mObywatel. Od 1 czerwca 2024 roku banki mają obowiązek sprawdzać zastrzeżenie przed udzieleniem kredytu.
2. Nie podawaj kodów, haseł ani danych karty osobie, która dzwoni w imieniu banku. Rozłącz się i oddzwoń na numer z karty lub strony banku.
3. Włącz powiadomienia o operacjach i logowaniach w aplikacji bankowej.
4. Podejrzane wiadomości SMS przekazuj bezpłatnie na numer 8080, a incydenty zgłaszaj do CERT Polska.

Czego nie wiadomo

Nie wiadomo, kto przeprowadził ataki, czy działała jedna grupa i jak dokładnie wykorzystano Artex. Udział AI pozostaje hipotezą opartą na śladach w kodzie i wypowiedzi regulatora. Liczby poszkodowanych mogą się zmienić po zakończeniu kontroli, a relacje mediów różnią się w szczegółach dotyczących mniejszych instytucji.