AI е използван при атаки срещу банки в Южна Корея

Южна Корея започна мащабно разследване на серия кибератаки срещу банки и други финансови компании, след като бяха открити признаци, че при част от пробивите може да е използван изкуствен интелект.

Президентът И Дже-мьон потвърди на заседание на кабинета на 6 октомври, че властите проверяват ролята на AI, след като лични данни на десетки хиляди клиенти бяха компрометирани.

„При някои от хакерските инциденти се появиха признаци за използване на AI, което предизвиква значителна обществена загриженост и тревога“, заяви И Дже-мьон, цитиран от Reuters.

Президентът нареди обстоятелствата около атаките да бъдат установени възможно най-бързо и поиска да бъдат мобилизирани необходимите хора и ресурси за ограничаване на щетите.

Към момента е важно да се направи разграничение между потвърдените киберпробиви и все още разследваната роля на изкуствения интелект.

Пробивите и изтичането на лични данни са потвърдени. Не е окончателно доказано обаче какъв AI инструмент е използван, нито до каква степен действията на атакуващите са били автоматизирани.

Южнокорейската полиция вече води пълномащабно разследване.

Според наличните данни са засегнати най-малко седем финансови компании – Shinhan Bank, KB Kookmin Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank и Hyundai Capital.

Най-сериозните известни пробиви са при Yegaram Savings Bank и Shinhan Bank.

По данни, цитирани от Financial Times, при Yegaram Savings Bank са засегнати данните на около 40 000 души, а при Shinhan Bank – на приблизително 25 000 клиенти.

При Welcome Savings Bank са компрометирани данни, свързани с около 2200 корпоративни клиенти.

Значително по-малки по мащаб инциденти са регистрирани при KB Kookmin Bank, Hana Bank, BNK Busan Bank и Hyundai Capital.

Първоначалните данни сочат, че атакуващите не са проникнали директно в основните системи за интернет и мобилно банкиране, а са се насочили към външно достъпни и помощни системи, използвани от служители, кредитни посредници и външни партньори.

Това е съществен детайл. Подобни периферни системи могат да бъдат свързани с големи финансови институции, но да имат различно ниво на защита от основната инфраструктура, през която се извършват банковите транзакции.

Засега няма потвърдени данни за откраднати средства от банкови сметки.

На 6 октомври южнокорейската Financial Services Commission съобщи и че при известните пробиви не са изтекли пароли и данни за еднократни OTP кодове. Регулаторът предупреди обаче за опасност от вторични атаки – особено персонализирани телефонни измами, фишинг и smishing съобщения, използващи вече откраднатите лични данни.

Финансовият регулатор отделно опроверга появили се твърдения, че при атаките са били откраднати данни за банкови сметки и изпратени в Китай. В официално съобщение комисията заяви, че не са установени доказателства за подобно изтичане на информация за сметки към Китай.

Една от най-интересните следи в разследването е възможното използване на AI инструмент за откриване на уязвимости.

Според Financial Times разследващите разглеждат вероятността да е използван Artex – AI инструмент с отворен код, предназначен за тестване на киберсигурността и откриване на слабости в компютърни системи.

Подобен инструмент сам по себе си не е непременно злонамерен. Технологиите за penetration testing се използват законно от специалисти по киберсигурност, за да откриват слабости, преди те да бъдат експлоатирани от нападатели.

Същите способности обаче могат да бъдат използвани и в обратната посока – за автоматизирано търсене на уязвими системи и потенциални начини за проникване.

Именно тук е големият въпрос пред южнокорейското разследване: дали AI просто е подпомогнал човека зад атаките, или е изпълнявал самостоятелно по-сложна последователност от действия по откриване и използване на уязвимости.

На този етап няма достатъчно публични доказателства, за да се твърди, че става дума за напълно автономна AI кибератака.

Има обаче допълнителни признаци, че поне част от инцидентите може да са свързани.

Разследващите са установили сходства между използваните IP адреси при някои от атаките. Южнокорейските финансови власти са предоставили на банките информация за 28 уникални IP адреса, за да могат институциите да проверят системите си и да предприемат защитни мерки.

Правителството вече е активирало засилен режим за реакция. Финансовите и технологичните институции обменят информация за атаките, а доставчици на облачни услуги са получили данни за подозрителни чуждестранни IP адреси.

Председателят на Financial Services Commission И Йок-уон свика извънредна среща с представители на финансовия сектор и поиска максимална готовност за предотвратяване на нови пробиви.

Властите въвеждат и едномесечен специален период за противодействие на вторични измами, който може да бъде удължен. Финансовите компании трябва да засилят системите си за откриване на подозрителни транзакции и да наблюдават опити за измами, използващи информация от изтеклите бази данни.

Случаят е особено важен за киберсигурността, защото показва как AI инструменти, разработени за легитимно откриване на слабости, потенциално могат да намалят времето и техническите знания, необходими за извършването на реална атака.

Досега голяма част от дискусията за т.нар. agentic AI в киберсигурността беше съсредоточена върху лабораторни тестове, симулации и оценка на бъдещи рискове. Южнокорейските инциденти дават възможност да бъде проверено как подобни инструменти действително се използват срещу реална финансова инфраструктура.

Но категоричният извод все още би бил преждевременен.

Потвърдено е, че седем финансови компании са станали обект на киберинциденти и че десетки хиляди записи с лични данни са били компрометирани. Президентът на Южна Корея официално заявява, че има признаци за използване на AI. Все още се разследва какъв точно инструмент е използван, от кого и каква част от атаките е извършена с помощта на изкуствен интелект.

Ако разследването установи, че AI агент самостоятелно е откривал уязвими системи, избирал е подходящи начини за проникване и е автоматизирал значителна част от атаките, случаят може да се превърне в един от най-показателните досега практически примери за използване на agentic AI при реални кибератаки срещу финансовия сектор.