Koreańska Agencja Policji Narodowej wszczęła wstępne śledztwo w sprawie nowych wycieków danych w giełdzie kryptowalut Bithumb, Daishin Securities oraz Mirae Asset Global Investments, badając skalę skradzionych danych oraz to, czy incydenty są powiązane z wcześniejszą falą ataków wspomaganych przez AI, które objęły 16 firm finansowych w kraju (Yonhap).

Ten sam zespół w Biurze Krajowym, który zajmował się wcześniej zgłoszonymi atakami na banki, przejął od środy rano śledztwo w sprawie najnowszych incydentów.

Które południowokoreańskie firmy zostały zaatakowane?

Daishin Securities, Bithumb i Mirae Asset Global Investments to najnowsze firmy uwikłane w falę wycieków koncentrującą się w Korei Południowej.

Według lokalnych doniesień Daishin Securities poniosła największe straty — wyciekły dane osobowe i kredytowe 38 490 klientów.

Bithumb dotychczas potwierdził, że atakujący uzyskali dostęp do danych pracowników; giełda wciąż ustala, czy skradziono również dane członków. W Mirae Asset Global Investments doszło do ekspozycji informacji z wewnętrznych systemów biznesowych, jednak zgodnie ze stanowiskiem firmy nie ma dowodów na przejęcie danych kredytowych osób prywatnych.

Po pełnym potwierdzeniu dane z trzech nowych incydentów dołożą się do około 100 000 rekordów ujawnionych w 16 firmach finansowych na dzień 14 października.

Czy koreańskie ataki są ze sobą powiązane?

Powiązanie nie zostało potwierdzone, ale śledczy z Agencji Policji Narodowej porównują metody zastosowane w niedawnych wyciekach, aby zidentyfikować podobieństwa i ustalić, czy ataki są odosobnione.

Lokalny portal Seoul Economic Daily zacytował oficela policji: „Nie wykluczamy możliwości, że był to atak tej samej osoby, która stoi za sprawą włamania na banki”.

Jeśli śledczy potwierdzą powiązanie, oznaczałoby to, że za październikowymi wyciekami stoją ci sami atakujący, którzy przy użyciu ARTEX zaatakowali banki. ARTEX to pochodzące z Chin, otwartoźródłowe agentowe narzędzie do testów penetracyjnych, działające w połączeniu z dużymi modelami językowymi, takimi jak Claude Code.

Jak wcześniej informował Cryptopolitan, CrowdStrike odnalazł w niezabezpieczonych katalogach serwerowych własne logi sesji Claude Code atakującego, pliki konfiguracyjne ARTEX oraz pliki pamięci. Na podstawie analizy odzyskanych plików CrowdStrike z umiarkowaną pewnością zidentyfikował motywowanego finansowo sprawcę posługującego się językiem chińskim. Ponieważ atakujący użył tych samych narzędzi do napisania CV, ujawnił własne dane kontaktowe oraz dane Telegrama, które — jak podał CrowdStrike — mogą należeć do 26-latka z Maoming w prowincji Guangdong, choć firma bezpieczeństwa przyznała, że identyfikatory te nie są w 100% wiarygodne.

Koreańscy specjaliści są sceptyczni wobec przypisywania ataków zaangażowaniu Chińczyków wyłącznie na podstawie chińskiego pochodzenia narzędzia. Profesor ze Szkoły Absolwenckiej Bezpieczeństwa Informacji na Uniwersytecie Korea zakwestionował, czy ARTEX było jedynym narzędziem używanym w atakach.

Liczba ofiar wciąż rośnie

Wcześniej w tym tygodniu KB Kookmin Bank poinformował, że szczegółowa weryfikacja podniosła potwierdzoną liczbę ofiar ze 119 do 2 210 (Seoul Economic Daily). Mirae Asset Life Insurance, odrębny podmiot, również wykrył włamania, co skłoniło Komisję Nadzoru Finansowego do pilnej kontroli na miejscu.

Komisja Usług Finansowych przeprowadziła już przegląd bezpieczeństwa 555 firm finansowych i wykryła nieprawidłowości w 130 z nich, w tym brakujące poprawki zabezpieczeń i brak monitoringu w czasie rzeczywistym (materiały polityczne KDI).

Z kolei Bithumb prowadzi kampanię ostrzegającą klientów, że wyciekniete dane osobowe są wykorzystywane w kolejnych oszustwach phishingowych i wyłudzeniach zdalnego dostępu. Potwierdzony zakres pozostaje nierównomierny w najnowszych przypadkach: Daishin zgłosiła ekspozycję danych klientów, podczas gdy Bithumb i Mirae Asset Global Investments wciąż odróżniają dostęp do danych pracowników lub systemów wewnętrznych od możliwej kradzieży danych członków lub danych kredytowych osób prywatnych.