I cyberattacchi AI alle banche sudcoreane hanno esposto dati di decine di migliaia di clienti e aziende in sette istituzioni finanziarie, con alcune intrusioni che hanno richiesto fino a 68 ore per essere individuate.

Un’indagine di CrowdStrike del 7 ottobre ha trovato tracce di ARTEX e Claude Code negli attacchi condotti tra la fine di settembre e l’inizio di ottobre. Secondo Cryptopolitan, le prove sono emerse da directory di server accessibili pubblicamente, che contenevano i registri degli strumenti usati dagli stessi aggressori.

Punti chiave

• Sette società finanziarie hanno segnalato dati di clienti, aziende o personale compromessi.
• CrowdStrike ha recuperato registri di strumenti AI e prompt in cinese.
• Le autorità sudcoreane hanno ordinato controlli su circa 500 aziende.
• Non risultano contagio finanziario dimostrato né furti diretti di fondi bancari.

Cyberattacchi AI alle banche sudcoreane: le tracce lasciate dagli strumenti

La ricostruzione di CrowdStrike poggia sui registri degli strumenti che gli attaccanti hanno lasciato online. Questi elementi collegano le violazioni a un’attività assistita dall’intelligenza artificiale.

La ricercatrice Ashley Campion ha trovato registri di sessione di Claude Code, file di memoria e configurazioni legati a ARTEX, uno strumento open source di penetration testing sviluppato in Cina. Il materiale recuperato comprendeva anche prompt in cinese.

La campagna ha combinato grandi modelli linguistici e ARTEX, che circola soprattutto nelle comunità GitHub di lingua cinese, per entrare nei sistemi delle istituzioni sudcoreane ed estrarre dati.

Ogni società colpita ha dichiarato un’esposizione diversa:

• Shinhan Bank: 25.727 record compromessi.
• KB Kookmin e Hana Bank: rispettivamente 119 e 89 record.
• BNK Busan: esposte le informazioni di 11 sviluppatori esterni.
• Welcome Savings Bank: 2.200 record aziendali.
• Hyundai Capital: coinvolti 146 agenti di prestito.

Yegaram Savings Bank ha avvisato circa 40.000 clienti coinvolti.

Attribuzione incerta e tempi di rilevamento molto diversi

CrowdStrike valuta con un livello di confidenza moderato che l’operatore parlasse cinese e agisse per motivi finanziari. La stima si basa sugli strumenti sviluppati in Cina e sui prompt in cinese recuperati, non sull’attribuzione a un gruppo avversario con un nome.

I tempi con cui le banche si sono accorte dell’intrusione sono molto distanti tra loro. Shinhan ha individuato l’attacco entro 15 ore, Hana ci ha messo quasi 42 ore, mentre KB Kookmin se n’è accorta dopo 68 ore.

Seul frena sulle deroghe e ordina ispezioni di sicurezza finanziaria

Dopo i cyberattacchi AI alle banche sudcoreane, la Corea del Sud ha annullato i piani per ampliare le esenzioni dalle regole sulla separazione delle reti. Ha anche ordinato ispezioni di sicurezza su circa 500 aziende.

Nella riunione del 4 ottobre il presidente della FSC, Lee Eog-weon, ha chiesto maggiore vigilanza. Secondo notizie provenienti dalla Corea, gli hacker si sono concentrati sui servizi esterni più deboli e non sui sistemi interni delle banche.

Le autorità puntano ora su misure di sicurezza più rigide, su un controllo più stretto dei fornitori terzi e su risposte più rapide degli istituti, per limitare quanto può estendersi un attacco.

Gli episodi sudcoreani si inseriscono in un quadro più ampio. Il rapporto di giugno del FMI indica che l’attività avversaria abilitata dall’AI è aumentata dell’89% tra il 2024 e il 2025, mentre il tempo medio di breakout è sceso a 29 minuti.

«L’AI può aiutare gli aggressori a trovare le vulnerabilità e a sfruttarle più rapidamente, lasciando alle banche meno tempo per rispondere», hanno scritto i ricercatori BIS Juan Carlos Crisanto, Adrien Currat e Jeffery Yong nel loro documento di settembre. Hanno aggiunto: «Questa finestra per rilevare, decidere e rispondere a tali attacchi si è ridotta drasticamente».

Nessun contagio finanziario per ora, ma i canali di trasmissione esistono

Le violazioni in Corea del Sud non hanno provocato un contagio finanziario dimostrato né il furto diretto di fondi delle banche. Studi più ampi indicano però fornitori tecnologici condivisi e legami finanziari come vie attraverso cui gli incidenti informatici possono diffondersi.

L’OCSE mette in guardia da questi canali di trasmissione e collega le violazioni a esiti come prelievi di depositi, stretta sul credito, calo delle valutazioni e aumento dei costi di finanziamento. La BIS esprime preoccupazioni simili sulla dipendenza condivisa delle banche dagli stessi fornitori di cloud e di AI.

Sul fronte dei budget, l’indagine PwC riferita al 2027 mostra che l’84% dei responsabili di sicurezza e finanza si aspetta un aumento della spesa in cybersicurezza. Solo il 22% consentirebbe all’AI di operare in piena autonomia nella difesa.

Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.