L'Agenzia di polizia nazionale della Corea del Sud ha aperto un'indagine preliminare sui nuovi data breach presso l'exchange di criptovalute Bithumb, Daishin Securities e Mirae Asset Global Investments, analizzando l'entità dei dati rubati e se gli episodi siano collegati a una precedente ondata di attacchi assistiti dall'AI che ha colpito 16 società finanziarie nel paese (Yonhap).

Lo stesso team dell'Ufficio nazionale che aveva lavorato agli attacchi bancari riportati in precedenza ha assunto il controllo dell'indagine sui nuovi episodi dalla mattinata di mercoledì.

Quali aziende sudcoreane sono state colpite?

Daishin Securities, Bithumb e Mirae Asset Global Investments sono le ultime aziende coinvolte in un'ondata di violazioni concentrate in Corea del Sud.

Secondo i rapporti locali, Daishin Securities è stata la più colpita, con l'esposizione dei dati personali e creditizi di 38.490 clienti.

Bithumb ha finora confermato che gli aggressori hanno avuto accesso ai dati dei dipendenti; l'exchange sta ancora valutando se siano state rubate anche le informazioni degli iscritti. In Mirae Asset Global Investments sono state esposte informazioni dei sistemi aziendali interni, anche se la dichiarazione della società non ha riportato prove che dati creditizi personali siano stati sottratti.

Una volta pienamente confermati, i numeri dei tre nuovi episodi si aggiungeranno ai circa 100.000 record esposti presso 16 società finanziarie al 14 ottobre.

Gli attacchi sudcoreani sono collegati?

Nessun collegamento è stato confermato, ma gli investigatori dell'Agenzia di polizia nazionale stanno confrontando i metodi utilizzati nelle recenti violazioni per individuare corrispondenze e determinare se gli attacchi siano isolati.

L'outlet locale Seoul Economic Daily ha citato un funzionario di polizia che ha detto: «Non escludiamo la possibilità che si tratti di un attacco da parte della stessa persona responsabile del caso di hacking bancario».

Se gli investigatori confermassero un collegamento, significherebbe che gli stessi aggressori che hanno usato ARTEX per colpire le banche sono dietro le violazioni di fine ottobre. ARTEX è uno strumento open-source di penetration testing agentico sviluppato in Cina che opera insieme a modelli linguistici di grandi dimensioni come Claude Code.

Come Cryptopolitan ha precedentemente riportato, CrowdStrike ha trovato i registri delle sessioni Claude Code dell'attaccante stesso, i file di configurazione ARTEX e i file di memoria in directory di server esposte. Sulla base delle valutazioni dei file recuperati, CrowdStrike ha identificato, con moderata confidenza, un operatore di madrelingua cinese con motivazioni finanziarie. Poiché l'attaccante ha usato gli stessi strumenti per redigere un curriculum, ha esposto i propri contatti e dettagli Telegram, che secondo CrowdStrike potrebbero appartenere a un 26enne di Maoming, nel Guangdong — sebbene la società di sicurezza abbia ammesso che questi elementi identificativi non sono affidabili al 100%.

Gli specialisti sudcoreani sono scettici nell'attribuire gli attacchi a un coinvolgimento cinese semplicemente perché lo strumento è stato sviluppato in Cina. Un professore della Graduate School of Information Security della Korea University ha messo in dubbio che ARTEX fosse l'unico strumento utilizzato negli attacchi.

Il numero delle vittime continua a crescere

All'inizio di questa settimana, KB Kookmin Bank ha dichiarato che una dettagliata revisione ha portato il conteggio confermato delle vittime da 119 a 2.210 (Seoul Economic Daily). Anche Mirae Asset Life Insurance, un'entità separata, ha rilevato intrusioni e ha suscitato un'ispezaione urgente sul posto da parte della Financial Supervisory Service.

La Financial Services Commission ha già condotto una revisione della sicurezza su 555 società finanziarie, riscontrando carenze in 130, tra cui patch di sicurezza mancanti e assenza di monitoraggio in tempo reale (materiale di politica KDI).

Bithumb, da parte sua, ha avviato una campagna per avvertire i clienti che i dati personali trapelati vengono riutilizzati in truffe successive di phishing e accesso remoto. L'ambito confermato resta disomogeneo negli ultimi casi: Daishin ha segnalato l'esposizione dei dati dei clienti, mentre Bithumb e Mirae Asset Global Investments stanno ancora distinguendo l'accesso ai dati dei dipendenti o dei sistemi interni dalla possibile sottrazione di dati degli iscritti o creditizi personali.