Весь след ИИ во взломе корейских банков — одна строка HTML

Весь след искусственного интеллекта здесь — одна строка в заголовке веб-страницы. Регуляторы Южной Кореи разбирают утечки в нескольких финансовых компаниях: Shinhan Bank сообщил о 25 000 пострадавших клиентов, KB Kookmin — об утечке данных банковских карт 119 клиентов, Hana Bank пострадал через скомпрометированную систему поддержки продаж. Подтверждённых записей набирается минимум 25 119.

“Банк и финансовые власти не подтвердили, что он применялся при взломе Shinhan, а строка на китайском не связывает атаки ни с одной конкретной группой”

— BleepingComputer, Об уликах по ARTEX

Из чего состоит доказательство про ИИ

Сервер, использованный в атаках, отдавал HTML-страницу, в заголовке которой была строка на китайском языке, связанная с ARTEX AI. Сам ARTEX — система тестирования на проникновение с открытым кодом, где ИИ-агент автоматизирует сбор информации, поиск уязвимостей, планирование пути атаки, запуск инструментов безопасности и проверку найденного. То есть подходящий инструмент где-то в цепочке присутствовал. Что работу сделал именно он, никто не показал, а о нападавших власти не опубликовали ничего.

Цифры в обороте не сходятся

Ряд изданий описывает кампанию как семь компаний и 65–66 тысяч пострадавших. Подтверждённая цифра BleepingComputer по названным организациям — 25 119. Расхождение возникает из-за того, что смешивают три разных счёта: пострадавших клиентов, утёкшие записи и затронутые компании. Одна цифра при этом разошлась дальше, чем следовало: у KB Kookmin это 119 держателей карт, а местами публикуется как 119 000, то есть в тысячу раз больше.

Двери, через которые зашли

Взлом корейских банков интересен за пределами Кореи по узкой причине: биржи и кастодианы держат системы той же категории — партнёрские порталы, приложения для сотрудников, бэк-офисные инструменты, которые стоят в стороне от укреплённого клиентского пути и получают меньше внимания на строку кода. Цепочке инструментов, которая находит такое автоматически, всё равно, какой отрасли это принадлежит. Ни один из названных входов не был интернет-банком. Нападавшие зашли через сервис запросов кредитных агентов, мобильное приложение для сотрудников и систему поддержки продаж — то, что банк строит для партнёров и персонала, а не для клиентов. Седьмого октября мы считали флот из 14 параллельных агентов, работавших против картографического API, и приписать его тоже не вышло никому. Пятого октября Google заморозил багбаунти под потоком автоматических заявок. В каждом случае инструмент опознаётся, а оператор — нет, и именно эту часть регуляторам придётся решать раньше, чем кому-то можно будет предъявить счёт. Пока же точно установлены только две вещи: список входов, через которые зашли, и число записей, которое подтвердили сами банки.

Материал информационный и не является инвестиционной рекомендацией: расследование продолжается, о нападавших власти ничего не публиковали, а цифры ниже приведены с указанием источника.