Το ARTEX έφερε agentic hacking σε επτά κορεατικούς χρηματοπιστωτικούς φορείς

Σε επτά χρηματοπιστωτικούς φορείς της Νότιας Κορέας επιβεβαιώθηκαν περιστατικά παραβίασης στο κύμα επιθέσεων που συνδέθηκε με ίχνη του ARTEX, σύμφωνα με το ρεπορτάζ του Yonhap. Πρόκειται για λογισμικό δοκιμών διείσδυσης που μπορεί να συνεργάζεται με γλωσσικά μοντέλα. Οι μέχρι τώρα ενδείξεις δείχνουν ότι ένας άνθρωπος επέλεγε στόχους και εργαλεία· δεν τεκμηριώνουν ότι ένα μοντέλο αποφάσισε μόνο του να επιτεθεί σε κάθε ίδρυμα.

Η τεχνική έρευνα της CrowdStrike της 7ης Οκτωβρίου 2026 εντόπισε σε υποδομή συνδεδεμένη με τις επιθέσεις αρχεία ρυθμίσεων ARTEX, ιστορικά συνεδριών Claude Code και αρχεία μνήμης· η εγκατάσταση του ARTEX χρησιμοποιούσε το DeepSeek v4.1-flash, ενώ σε πρόσθετες συνεδρίες εμφανίζονταν τα GLM-5.3 και Grok 4.6. Η ερευνητική ομάδα συνδέει τη δραστηριότητα από τα τέλη Σεπτεμβρίου έως τις αρχές Οκτωβρίου με εξαγωγή δεδομένων από κορεατικούς χρηματοπιστωτικούς οργανισμούς. Δεν προσδιορίζει όμως πόσα από τα ιδρύματα που δήλωσαν παραβίαση ανήκουν στην τεχνικά τεκμηριωμένη καμπάνια.

Πώς συνδέθηκε το ARTEX με τις επιθέσεις

Η αρχική ένδειξη ήταν η εμφάνιση της ονομασίας ARTEX σε διακομιστή που θεωρήθηκε ότι χρησιμοποιήθηκε στις επιθέσεις. Τα ανοικτά αρχεία έδειξαν περισσότερα από μια εγκατάσταση λογισμικού: περιείχαν οδηγία στα κινεζικά για δραστηριότητες δοκιμής διείσδυσης και καταγραφές αλληλεπίδρασης με το Claude Code. Έτσι προκύπτει μια εικόνα για τη χρήση του εργαλείου μέσα στην καμπάνια, χωρίς να αποδίδεται αυτόματα σε αυτό κάθε επιμέρους παραβίαση.

Η υποδομή είχε διακριτούς ρόλους. Μια διεύθυνση συνδεδεμένη με το Χονγκ Κονγκ λειτουργούσε ως κύριο σημείο ελέγχου του δράστη, ενώ άλλος διακομιστής φιλοξενούσε την εγκατάσταση του ARTEX που πιθανότατα χρησιμοποιήθηκε εναντίον κορεατικών στόχων. Στα ιστορικά εμφανίζονται επίσης ενδιάμεσες διευθύνσεις για τη δρομολόγηση συνδέσεων. Η θέση των διακομιστών περιγράφει την υποδομή της επίθεσης, όχι την ταυτότητα του προσώπου που τη χειριζόταν.

Το ARTEX είναι ανοικτού κώδικα εργαλείο σχεδιασμένο για αυτοματοποιημένες δοκιμές ασφάλειας. Στη συγκεκριμένη χρήση, το γλωσσικό μοντέλο τροφοδοτούσε λειτουργίες του εργαλείου, ενώ το Claude Code άφησε ιστορικά από άλλες εργασίες του χειριστή. Αυτός ο διαχωρισμός έχει σημασία: η παρουσία πολλών μοντέλων δεν σημαίνει ότι εκτέλεσαν όλα την ίδια ενέργεια ή ότι μπορούν να ανασυντεθούν από τα διαθέσιμα αρχεία όλα τα βήματα κάθε εισβολής.

Οι οδηγίες που άφησε ο χειριστής

Τα ιστορικά συνεδριών αποτυπώνουν ανθρώπινες επιλογές πέρα από τις αυτοματοποιημένες δοκιμές. Ο χρήστης ρώτησε πού πωλούνται συνήθως δεδομένα από κορεατικές παραβιάσεις και πώς εντοπίζονται σχετικές ομάδες στο Telegram. Ζήτησε επίσης τη σύνταξη βιογραφικού ερευνητή ασφάλειας που θα παρουσίαζε αποτελέσματα δραστηριότητας με το ARTEX. Οι ερωτήσεις αυτές φωτίζουν τους στόχους του χειριστή, χωρίς να αποτελούν απόδειξη ότι τα δεδομένα πωλήθηκαν.

Η εκτίμηση ότι ο άγνωστος δράστης πιθανότατα μιλά κινεζικά και έχει οικονομικό κίνητρο έχει μέτριο βαθμό βεβαιότητας. Βασίζεται, μεταξύ άλλων, στις κινεζόγλωσσες οδηγίες και στο ενδιαφέρον για τη διάθεση κλεμμένων δεδομένων. Στο αίτημα για το βιογραφικό πληκτρολογήθηκαν προσωπικά στοιχεία και λογαριασμός Telegram, όμως η σχέση τους με τον πραγματικό χειριστή δεν έχει εξακριβωθεί. Ούτε η γλώσσα μιας οδηγίας ούτε η χώρα όπου αναπτύχθηκε ένα διαθέσιμο σε όλους εργαλείο αρκούν για να καθορίσουν υπηκοότητα.

Το «agentic» περιγράφει εδώ τη δυνατότητα του λογισμικού να εκτελεί διαδοχικές εργασίες με τη βοήθεια μοντέλου, προσαρμόζοντας τη δράση του σε όσα βρίσκει. Τα αρχεία δείχνουν παράλληλα έναν άνθρωπο που όριζε το πλαίσιο, χρησιμοποιούσε διαφορετικές υπηρεσίες και αναζητούσε πληροφορίες σχετικές με τα δεδομένα της επίθεσης. Η αυτοματοποίηση μπορεί να επιταχύνει μια διείσδυση· δεν καταργεί τον ρόλο εκείνου που την κατευθύνει.

Ποια συστήματα και δεδομένα επλήγησαν

Οι γνωστές παραβιάσεις αφορούσαν κυρίως υπηρεσίες στην περιφέρεια των τραπεζικών συστημάτων. Το ρεπορτάζ της Kyunghyang Shinmun περιγράφει παραβίαση υπηρεσίας ενημέρωσης για την πορεία δανείων που χρησιμοποιούσαν μεσίτες στη Shinhan Bank και συστήματος υποστήριξης εργασίας σε κινητές συσκευές στην KB Kookmin Bank· καταγράφει 25.727 στοιχεία προσωπικών πληροφοριών στη Shinhan και δεδομένα 119 και 89 πελατών στην KB Kookmin και τη Hana Bank αντίστοιχα. Οι κατηγορίες και οι μονάδες μέτρησης διαφέρουν: οι εγγραφές πληροφοριών ενός ιδρύματος δεν ισοδυναμούν κατ’ ανάγκη με ισάριθμους ανθρώπους.

Η καταγραφή του Korea Times εκτιμούσε ότι είχαν επηρεαστεί περισσότεροι από 67.000 άνθρωποι στους επτά φορείς, μεταξύ των οποίων τράπεζες, ταμιευτήρια και εταιρεία χρηματοδότησης. Στις εκτεθειμένες πληροφορίες περιλαμβάνονταν ονόματα, στοιχεία επικοινωνίας, εισόδημα και όρια δανεισμού. Ο πρόεδρος της κορεατικής Επιτροπής Χρηματοπιστωτικών Υπηρεσιών, Lee Eog-weon, προειδοποίησε στο ίδιο δημοσίευμα: «But we cannot rule out the possibility of secondary damage». Η προειδοποίηση αφορά, μεταξύ άλλων, απόπειρες τηλεφωνικής και ηλεκτρονικής εξαπάτησης με χρήση των διαρρεύσαντων στοιχείων.

Οι δημόσιοι συνολικοί απολογισμοί παραμένουν προσωρινοί και έχουν δημοσιευθεί σε διαφορετικές χρονικές στιγμές. Επιπλέον, μετρούν την έκθεση δεδομένων σε ολόκληρο το κύμα περιστατικών, ενώ η τεχνική έρευνα εξετάζει τη δραστηριότητα που μπορεί να συνδεθεί με συγκεκριμένη υποδομή και εργαλεία. Γι’ αυτό ο αριθμός των επηρεασμένων πελατών δεν μπορεί να χρησιμοποιηθεί ως μέτρο του τι ακριβώς έκανε το ARTEX σε κάθε οργανισμό.

Η έρευνα στις εξωτερικές υπηρεσίες

Η απόκριση των αρχών στρέφεται στις υπηρεσίες που συνδέουν τα χρηματοπιστωτικά ιδρύματα με εργαζομένους και συνεργάτες έξω από τα βασικά τραπεζικά δίκτυα. Σε ενημέρωση της κορεατικής Επιτροπής Χρηματοπιστωτικών Υπηρεσιών αναφέρεται ότι οι ερευνητές εξέταζαν 28 διευθύνσεις IP που χρησιμοποιήθηκαν στις επιθέσεις και ότι πολλές λειτουργούσαν ως ενδιάμεσες διαδρομές απόκρυψης. Η αστυνομία ερευνά τις υπόλοιπες για στοιχεία που θα μπορούσαν να οδηγήσουν στον δράστη.

Η ίδια ενημέρωση τοποθετεί το πρόβλημα στις εξωτερικές προσβάσεις και στα συστήματα υποστήριξης εργασίας και προαναγγέλλει αλλαγές στους ελέγχους ευπαθειών: συχνότερη αξιολόγηση, ευρύτερη κάλυψη και ισχυρότερη παρακολούθηση της αποκατάστασης. Η διερεύνηση ανά ίδρυμα θα δείξει ποια δεδομένα εκτέθηκαν οριστικά και σε ποια περιστατικά αντιστοιχούν τα τεχνικά ίχνη του ARTEX. Για τους πελάτες, αυτή η αντιστοίχιση θα καθορίσει πόσο συγκεκριμένη ενημέρωση μπορούν να λάβουν για τα δικά τους στοιχεία.

Διαβάστε επίσης:

• Business plan για χρηματοδότηση: οι πωλήσεις χωρίς cash flow δεν αρκούν
• Τα έργα ΤΠΕ μετά το RRF: η χρηματοδότηση αλλάζει, όχι οι προθεσμίες