L'Agence nationale de police de Corée du Sud a ouvert une enquête préliminaire sur de nouvelles fuites de données touchant la plateforme d'échange de cryptomonnaies Bithumb, Daishin Securities et Mirae Asset Global Investments, afin d'évaluer l'ampleur des données volées et de déterminer si ces incidents sont liés à une vague antérieure d'attaques assistées par l'IA ayant visé 16 entreprises financières du pays (Yonhap).

La même équipe du Bureau national qui travaillait sur les piratages bancaires précédemment signalés a repris l'enquête sur les incidents les plus récents dès mercredi matin.

Quelles entreprises sud-coréennes ont été touchées ?

Daishin Securities, Bithumb et Mirae Asset Global Investments sont les dernières entreprises prises dans une vague de fuites de données concentrée en Corée du Sud.

Selon les médias locaux, Daishin Securities a été la plus durement touchée, avec l'exposition des données personnelles et de crédit de 38 490 clients.

Bithumb a jusqu'ici confirmé que les attaquants ont eu accès aux données du personnel ; la plateforme évalue encore si les informations des membres ont également été dérobées. Chez Mirae Asset Global Investments, des informations issues des systèmes internes de gestion ont été exposées, même si le communiqué de l'entreprise n'a fait état d'aucune preuve que des données de crédit personnelles aient été prises.

Une fois pleinement confirmés, les chiffres des trois nouveaux incidents s'ajouteront aux quelque 100 000 dossiers exposés dans 16 entreprises financières au 14 octobre.

Les piratages sud-coréens sont-ils liés ?

Aucun lien n'a été confirmé, mais les enquêteurs de l'Agence nationale de police comparent les méthodes utilisées lors des récentes fuites afin d'identifier des correspondances et de déterminer si les attaques sont isolées.

Le média local Seoul Economic Daily a cité un responsable de la police déclarant : « Nous n'écartons pas la possibilité qu'il s'agisse d'une attaque de la même personne qui est derrière l'affaire de piratage des banques. »

Si les enquêteurs confirment un lien, cela signifierait que les mêmes attaquants qui ont utilisé ARTEX pour frapper les banques sont à l'origine des fuites de fin octobre. ARTEX est un outil open source d'intrusion agentique de type test d'intrusion, développé en Chine, qui fonctionne aux côtés de grands modèles de langage tels que Claude Code.

Comme Cryptopolitan l'avait précédemment rapporté, CrowdStrike a découvert les journaux de session Claude Code de l'attaquant lui-même, ainsi que des fichiers de configuration ARTEX et des fichiers mémoire, présents dans des répertoires de serveurs exposés. Sur la base de l'analyse des fichiers récupérés, CrowdStrike a identifié, avec une confiance modérée, un opérateur sinophone motivé par le gain financier. L'attaquant ayant utilisé les mêmes outils pour rédiger un CV, il a divulgué ses propres coordonnées et son identifiant Telegram, qui, selon CrowdStrike, appartiendraient à une personne de 26 ans résidant à Maoming, dans le Guangdong — bien que l'entreprise de sécurité ait reconnu que ces éléments d'identification ne sont pas fiables à 100 %.

Les spécialistes sud-coréens se montrent sceptiques quant à une implication chinoise fondée sur le simple fait que l'outil a été développé en Chine. Un professeur de la Graduate School of Information Security de l'Université de Corée s'est interrogé sur la question de savoir si ARTEX était le seul outil utilisé lors des attaques.

Le nombre de victimes continue d'augmenter

Plus tôt cette semaine, KB Kookmin Bank a indiqué qu'un réexamen détaillé avait fait passer son nombre de victimes confirmées de 119 à 2 210 (Seoul Economic Daily). Mirae Asset Life Insurance, une entité distincte, a également détecté des intrusions et fait l'objet d'une inspection urgente sur place de la part du Financial Supervisory Service.

La Financial Services Commission a déjà mené une revue de sécurité de 555 entreprises financières et a relevé des lacunes chez 130 d'entre elles, notamment l'absence de correctifs de sécurité et de supervision en temps réel (documentation de politique de la KDI).

De son côté, Bithumb mène une campagne d'avertissement informant ses clients que les données personnelles divulguées sont réutilisées dans des campagnes de phishing et d'arnaques par accès à distance. L'ampleur confirmée reste inégale selon les derniers cas : Daishin a signalé une exposition de données clients, tandis que Bithumb et Mirae Asset Global Investments continuent de distinguer l'accès aux données du personnel ou aux systèmes internes d'un éventuel vol de données membres ou de crédit personnel.