Сотрудники банков Кореи узнали об ИИ-атаке до утечек данных

Подробно

Что обсуждали на семинаре FSI 17 сентября?

Семинар «Реагирование на угрозы финансовой безопасности, связанные с ИИ» прошёл 17 сентября 2026 года с 10:00 до 11:30 в зале Bulls Hall на третьем этаже здания Корейской ассоциации финансовых инвестиций в сеульском районе Ёыйдо. На нём были около 160 сотрудников финансовых компаний, которые отвечают за безопасность. FSI сообщил о семинаре публично 21 сентября.

В материалах выступления разобрана атака на финансовую компанию, которую в документах называют компанией A. Её зафиксировали в сентябре. Злоумышленник поручил ИИ-агенту на базе DeepSeek искать в финансовом секторе серверы с Oracle WebLogic. На следующий день он воспользовался уязвимостью, позволяющей удалённо выполнять команды, и установил веб-шелл. Компания A заметила вторжение и остановила его до того, как атакующий загрузил дополнительный вредоносный код.

FSI рекомендовал постоянно выявлять и проверять системы, доступные из интернета. В презентации говорилось, что проверок один-два раза в год недостаточно. В сообщении от 21 сентября отдельно упоминались защита API и проверка того, не раскрыты ли ключи безопасности.

«После подтверждения реальных случаев использования ИИ-агентов в кибератаках финансовому сектору важно создать систему быстрого реагирования на такие угрозы», - заявил директор FSI Пак Сан Вон.

Какие банки были на семинаре и какие пострадали от взломов?

Документы, переданные FSI депутату Хан Чхан Мину, лидеру Социал-демократической партии и члену парламентского комитета по государственным делам, опубликовало агентство Yonhap. Позже о них написало издание Aju Press. По этим документам, в семинаре участвовали сотрудники KB Kookmin Bank, Hana Bank, Hyundai Capital и Welcome Savings Bank. Был там и представитель финансового холдинга Shinhan, но это не значит, что на семинаре присутствовали сотрудники самого Shinhan Bank. BNK Busan Bank и Yegaram Savings Bank в списке участников не значатся.

В группу из семи пострадавших организаций, о которой пишут Yonhap и Aju Press, входят:

• Shinhan Bank;
• KB Kookmin Bank;
• Hana Bank;
• BNK Busan Bank;
• Yegaram Savings Bank;
• Welcome Savings Bank;
• Hyundai Capital.

Woori Bank и NH NongHyup Bank сообщили, что пресекли попытки проникновения. Число «семь» описывает только эту группу. Сколько всего организаций пострадало, официально не подтверждено.

Чьи данные утекли и сколько клиентов пострадало?

Shinhan Bank опубликовал извинение 1 октября. Банк сообщил, что утекли персональные и кредитные данные части клиентов. Речь шла примерно о 25 000 человек. По сообщениям об инциденте, атаке подвергся сервис запросов для кредитных посредников. Среди раскрытых сведений были имена, телефоны, годовой доход и рассчитанные лимиты займа.

Yegaram Savings Bank сообщил, что 30 сентября обнаружил, как неизвестный получил доступ к серверу с персональными данными. Уведомление и извинение банк разместил 2 октября. По первоначальной оценке, пострадали около 40 000 клиентов, но банк уточнял, что число ещё проверяется. Среди затронутых сведений назывались имена, даты рождения и контактные данные.

Эти цифры - число затронутых клиентов, а не размер ущерба. Сумма финансовых потерь в проверенных источниках не указана. Комиссия по финансовым услугам 6 октября заявила, что в проверенных эпизодах не подтвердились ни утечка сведений о счетах, пригодных для финансовых операций, ни передача данных в Китай. Регулятор призвал не выдавать такие утверждения за установленные факты.

Кто стоит за атаками и при чём здесь ARTEX?

Компания CrowdStrike 7 октября опубликовала исследование инфраструктуры злоумышленника, связанной с южнокорейским финансовым сектором. Исследователи нашли открытые каталоги с историями сеансов Claude Code, настройками инструмента ARTEX и файлами памяти Claude. Изученный экземпляр ARTEX работал на модели DeepSeek v4.1-flash, также обнаружено использование GLM-5.3 и Grok 4.6.

CrowdStrike считает, что ИИ-инструменты ускорили серию атак, и называет вероятной связь этой инфраструктуры с описанными взломами. При этом компания прямо пишет, что её исследование не подтверждает точное число пострадавших организаций. С умеренной уверенностью CrowdStrike предполагает, что злоумышленник говорит по-китайски и действует ради денег. Ни к одной известной группировке операция не отнесена.

Связь атаки на компанию A с последующими утечками не доказана, как и то, что их совершил один и тот же человек. Похожие инструменты и тактика ещё не означают, что исполнитель один. По состоянию на 11 октября в открытых источниках нет данных об обвинениях, признании вины или приговоре по этой серии атак.

Могли ли банки предотвратить взломы?

Хан Чхан Мин заявил, что причиной утечек стало ненадлежащее управление уязвимостями, на которые уже не раз указывали. Он пообещал на парламентских слушаниях проверить, как компании действовали до и после взломов. Это позиция депутата, а не установленный вывод.

Есть важная оговорка, которую приводит и сам Yonhap. В случае компании A атаковали необновлённый продукт стороннего поставщика. При позднейших взломах целью стали внешние рабочие сервисы самих финансовых компаний, в том числе страница запросов для кредитных посредников и мобильная система для сотрудников. Поэтому возможности предотвратить последующие атаки с помощью сентябрьского предупреждения могли быть ограничены. Представитель FSI в комментарии Yonhap отметил, что ИИ позволяет проводить целенаправленные атаки сразу против нескольких организаций. Атаки через уязвимости веб-приложений, по его словам, особенно трудно обнаружить средствами мониторинга и межсетевыми экранами.

Ответы банков, которые участвовали в семинаре, на опубликованные 11 октября документы и результаты их внутренних проверок после семинара в открытых источниках найти не удалось.

Что предпринимают регуляторы и что будет дальше?

Ещё 3 сентября Комиссия по финансовым услугам утвердила меры по более широкому применению ИИ для защиты финансовых организаций. Регулятор отмечал, что с помощью ИИ можно быстро находить большое число уязвимостей.

После сообщения об инциденте 30 сентября FSI и регулятор начали выездную проверку Shinhan Bank. 2 октября регулятор провёл экстренное совещание и разослал финансовым организациям сведения об атаках и контрольный список для проверки. 4 октября глава Комиссии по финансовым услугам Ли Ок Вон провёл совещание всего финансового сектора. Регулятор потребовал проверить внешние ИТ-системы, аутентификацию и контроль доступа и предупредил о риске фишинга с использованием утёкших данных.

На 19 октября запланированы парламентские слушания о работе Службы финансового надзора и об этих инцидентах. На них планируется вызвать руководителей пяти крупнейших коммерческих банков.