แฮกเกอร์ธนาคารเกาหลีถาม Claude ว่าจะขายข้อมูลที่ถูกขโมยได้ที่ไหน, CrowdStrike กล่าว

ผู้ต้องสงสัยที่อยู่เบื้องหลังการละเมิดธนาคารในเกาหลีใต้เมื่อเร็วๆ นี้ได้สอบถามเครื่องมือการเขียนโค้ด AI ว่าข้อมูลการละเมิดขายที่ไหน CrowdStrike พบคำขอในบันทึกเซสชันที่เก็บไว้ในไดเรกทอรีที่เปิดอยู่บนเซิร์ฟเวอร์ที่ควบคุมโดยผู้โจมตี

ธนาคารเกาหลีใต้หลายแห่งได้เปิดเผยการรั่วไหลของข้อมูลลูกค้าในช่วงสัปดาห์ที่ผ่านมา รายงานของ CrowdStrike เมื่อวันที่ 7 ตุลาคมกล่าวว่าการรณรงค์นี้ใช้เครื่องมือการทดสอบการเจาะระบบที่สร้างขึ้นในจีนและโมเดลภาษาหลายตัว

สิ่งที่ทราบจนถึงตอนนี้เกี่ยวกับการละเมิดธนาคารเกาหลี

การโจมตีหลายครั้งได้เกิดขึ้นกับธนาคารเกาหลีหลายแห่งในช่วงปลายเดือนกันยายนถึงต้นเดือนตุลาคม ธนาคารชินฮันยืนยันการละเมิดเมื่อวันที่ 30 กันยายนและกล่าวในวันถัดมาว่าลูกค้าประมาณ 25,000 รายได้รับผลกระทบ ผู้บุกรุกสามารถหลบเลี่ยงการตรวจสอบตัวตนในบริการเงินกู้ที่ตัวแทนใช้ติดตามใบสมัคร

บันทึกที่ถูกเปิดเผยมีชื่อ หมายเลขโทรศัพท์ รายได้ประจำปี และวงเงินกู้ที่คำนวณแล้ว นอกจากนี้ยังรวมถึงหมายเลขทะเบียนที่อยู่อาศัย 66 หมายเลข ซึ่งเป็นหมายเลขประจำตัวประชาชนของเกาหลีใต้

KB Kookmin Bank ตามมาด้วยการกล่าวเมื่อวันที่ 2 ตุลาคมว่าข้อมูลของลูกค้า 119 รายรั่วไหลผ่านระบบมือถือที่พนักงานใช้ ธนาคารฮาน่าเปิดเผยว่ามีลูกค้า 89 รายได้รับผลกระทบ ขณะที่ BNK กล่าวว่าบันทึกของพนักงานที่จ้างจากภายนอก 11 รายถูกขโมยไป

ประธานาธิบดีลีแจมยองได้ยกคำถามเกี่ยวกับ AI ในการประชุมคณะรัฐมนตรี ตำรวจได้เปิดการสอบสวนอย่างเต็มรูปแบบตั้งแต่นั้นมา

"ในบางเหตุการณ์การแฮก มีสัญญาณที่แสดงให้เห็นว่า AI ถูกนำมาใช้ ทำให้เกิดความกังวลและความวิตกกังวลในสาธารณะอย่างมาก" เขากล่าว

เซิร์ฟเวอร์ที่เปิดเผยการสนทนา AI ของผู้โจมตี

CrowdStrike ได้เผยแพร่ผลการค้นพบเมื่อวันที่ 7 ตุลาคม ไดเรกทอรีที่เปิดอยู่บนเซิร์ฟเวอร์ที่ควบคุมโดยผู้โจมตีมีประวัติจาก Claude Code ผู้ช่วยการเขียนโค้ด AI ของ Anthropic พร้อมกับไฟล์การกำหนดค่า

"การวิเคราะห์ไดเรกทอรีที่เปิดอยู่ซึ่งควบคุมโดยผู้กระทำผิดเปิดเผยประวัติการเซสชันของ Claude Code ไฟล์การกำหนดค่า ARTEX และไฟล์หน่วยความจำ Claude ซึ่งให้ข้อมูลเชิงลึกโดยตรงเกี่ยวกับระเบียบวิธีการดำเนินงานและเครื่องมือของผู้กระทำผิด" รายงานระบุ

ตามรายงาน ผู้โจมตีทำงานร่วมกับ ARTEX เครื่องมือการทดสอบการเจาะระบบแบบโอเพ่นซอร์สที่พัฒนาในจีน

เซิร์ฟเวอร์ที่ตั้งอยู่ในฮ่องกงทำหน้าที่เป็นโครงสร้างพื้นฐานหลักของผู้โจมตี ที่อยู่ IP รันอินสแตนซ์ ARTEX ที่ CrowdStrike กล่าวว่าน่าจะอยู่เบื้องหลังการโจมตีในเกาหลี

CrowdStrike กล่าวว่าอินสแตนซ์ ARTEX ใช้ DeepSeek v4.1-flash เป็นโมเดล AI หลัก ผู้โจมตียังใช้ GLM-5.3 ของ Zhipu AI และ Grok 4.6 ของ xAI ในเซสชัน Claude Code อื่นๆ

DeepSeek ยังปรากฏในรายงาน TeamT5 เมื่อเดือนสิงหาคมเกี่ยวกับแฮกเกอร์จีน บริษัทไต้หวันพบว่ากลุ่มที่เชื่อมโยงกับรัฐเพิ่มปริมาณการโจมตีเป็นสองเท่าหลังจากนำ DeepSeek และ AI แบบโอเพ่นซอร์สมาประยุกต์ใช้

ผู้โจมตีสอบถามเกี่ยวกับตลาด Telegram

ควบคู่ไปกับการดำเนินการ ARTEX ผู้โจมตีได้สอบถาม Claude ว่าผู้กระทำผิดมักจะขายข้อมูลการละเมิดเกาหลีที่ไหน ผู้ใช้คนเดียวกันต้องการความช่วยเหลือในการค้นหากลุ่ม Telegram เกาหลีที่ขายข้อมูลดังกล่าว

CrowdStrike ยังไม่ได้ตั้งชื่อกลุ่มใดที่อยู่เบื้องหลังการรณรงค์นี้ มันประเมินด้วยความมั่นใจในระดับปานกลางว่าผู้กระทำผิดน่าจะเป็นผู้พูดภาษาจีนที่มีแรงจูงใจทางการเงิน มุมมองนั้นขึ้นอยู่กับ ARTEX และคำสั่งที่เป็นภาษาจีน

คำขอเรซูเม้อาจชี้ไปที่แฮกเกอร์

ในเซสชันอีกครั้ง ผู้ใช้ได้ขอให้ Claude เขียนเรซูเม่ของนักวิจัยด้านความปลอดภัยที่แสดงผลลัพธ์ของ ARTEX คำสั่งระบุชื่อผู้ใช้ Telegram อายุ 26 ปี และสถานที่ในเมืองเหมาชิง มณฑลกวางตุ้ง

CrowdStrike กล่าวว่า รายละเอียดดังกล่าวน่าจะเป็นของผู้โจมตี แต่ไม่สามารถเชื่อมโยงกับพวกเขาได้อย่างแน่นอน บริษัทยังตั้งข้อสังเกตว่าผู้โจมตีได้ป้อนวันเกิดเป็นปี 2007

ชื่อผู้ใช้ Telegram เดียวกันปรากฏในเซสชัน Claude Code ที่ตรวจสอบตลาดของขวัญ NFT ที่ใช้ Telegram เพื่อหาข้อบกพร่อง

"ในขณะที่กิจกรรมนี้ยังไม่ได้ถูกระบุว่าเป็นของศัตรูที่มีชื่อ แต่ผู้กระทำผิดน่าจะเป็นผู้พูดภาษาจีนและมีแรงจูงใจทางการเงิน" CrowdStrike กล่าวเสริม

CrowdStrike กล่าวว่าเครื่องมือ AI สามารถช่วยให้ผู้กระทำผิดที่มีแรงจูงใจทางการเงินดำเนินการโจมตีหลายครั้งในระยะเวลาสั้นๆ ก่อนหน้านี้ Anthropic ยังกล่าวว่า AI ตอนนี้สามารถทำงานโจมตีขั้นสูงสำหรับแฮกเกอร์ที่มีทักษะต่ำ

CrowdStrike คาดว่าผู้โจมตีจะยังคงทดลองกับเครื่องมือ AI มันเป็นหนึ่งในมากกว่า 100 บริษัทที่ลงนามในจดหมายเมื่อเดือนสิงหาคมที่เตือนว่าการโจมตีทางไซเบอร์ที่ใช้ AI จะเพิ่มขึ้น