كوريا الجنوبية خففت قواعد أمن البنوك لمكافحة اختراقات الذكاء الاصطناعي، ثم تعرضت للاختراق بواسطة هجمات ذكاء اصطناعي

علّقت هيئة الخدمات المالية الكورية المرحلة التالية من برنامج يهدف إلى تخفيف قواعد أمن البنوك. وقد ألغت الوكالة هذا الإجراء قبل يوم واحد فقط من الموعد المحدد لاختيار مجموعة جديدة من البنوك.

وكان سبب الإلغاء هو سلسلة من الهجمات المدعومة بالذكاء الاصطناعي التي ضربت سبع شركات مالية وكشفت عن عشرات الآلاف من سجلات العملاء.

هل يجعل الذكاء الاصطناعي بنوك كوريا الجنوبية أكثر أماناً؟

علّقت هيئة الخدمات المالية الكورية المرحلة التالية من برنامج تحرير قطاع البنوك بعد سلسلة من الهجمات المدعومة بالذكاء الاصطناعي. كان فكرة تخفيف قواعد أمن البنوك في الأساس مبنية على افتراض أن الذكاء الاصطناعي سيعزز الدفاعات، لكن هذه الهجمات الأخيرة أصابت حتى الشركات التي حازت أعلى التقييمات من حيث الأمان.

السياسة التي كان من المفترض تخفيفها هي قاعدة الفصل الشبكي في كوريا، والتي تُلزم الشركات المالية بالاحتفاظ بأنظمتها الداخلية المعزولة جسدياً عن الإنترنت.

فُرضت القاعدة في البداية بسبب الهجمات الإلكترونية في أواخر العقد الأول من القرن الحادي والعشرين، حيث شملت الوكالات الحكومية منذ عام 2007 والبنوك منذ عام 2014. ولطالما نجحت هذه القاعدة على مر السنين. فعلى سبيل المثال، خلال تفشي WannaCry في عام 2017، نجت المؤسسات المالية الكورية إلى حد كبير دون أضرار جسيمة لأن البرمجيات الخبيثة لم تستطع الوصول إلى الشبكات المعزولة.

ومع ذلك، ومع ظهور الذكاء الاصطناعي التوليدي، جادل المنظمون بأن بأن القاعدة حالت دون قدرة البنوك على تشغيل أدوات الذكاء الاصطناعي الضرورية لكشف التهديدات، لذا بدأت لجنة الإشراف المالي (FSC) في منح استثناءات.

نظم نائب الرئيس كوان داي يونغ جلسة مستديرة في مايو حول مخاطر الأمن المتعلقة بالذكاء الاصطناعي المتقدم، وشمل أول موجة من التخفيف 49 شركةً تمتلك أصولاً لا تقل عن 10 تريليون وون وتوظف 1,000 موظف على الأقل، مُنحت كل منها إعفاءً لمدة عام واحد لاختبار دفاعات قائمة على الذكاء الاصطناعي.

كان من المقرر أن توسّع المرحلة الثانية نطاق الأهلية ليشمل 75 شركةً، مع خفض حد الأصول إلى 2 تريليون وون وسقف عدد الموظفين إلى 300. كما كان من المقرر أن يرتفع عدد الشركات المختارة من 10 إلى ما يصل إلى 15. وكان من المخطط لإجراء الاختيارات في السابع من أكتوبر.

تُشير هيئة الرقابة المالية (FSC) الآن إلى أنها تحتاج إلى مراجعة إضافية مع هيئة الإشراف المالي، وذلك في ظل وجود الانتهاكات. وتصر الهيئة التنظيمية على أنها لا تزال تؤيد مبدأ تحرير السوق.

أي الاختراقات كانت بمساعدة الذكاء الاصطناعي؟

بدأت الانتهاكات في 30 سبتمبر في بنك شينهان، حيث تمكن طرف خارجي من تجاوز فحوصات الهوية في خدمة وكلاء القروض وسحب البيانات الشخصية لما يقرب من 25,000 عميل.

بعد اكتشاف الاختراق، قامت هيئة الرقابة المالية (FSC) بنشر عناوين IP للمهاجم، مما دفع شركات أخرى إلى فحص سجلاتها الخاصة واكتشاف أن أنظمتها قد تم اختراقها أيضًا.

وُثّق اختراق 25,727 سجلًا في بنك شينهان. و89 في بنك هانا، و119 في بنك كي بي كوكمين، بالإضافة إلى 11 مطورًا تابعًا لمقاولين من الباطن في بنك بنك بوسان.

ثم امتد الضرر ليصل إلى المقرضين من الدرجة الثانية مثل بنك ييغاماد للادخار، الذي كشف عن اختراق أثر على نحو 40,000 عميل، وهو الرقم الأكبر حتى الآن. وخسر بنك ويلكوم للادخار ما يصل إلى 2,200 سجلًا للشركات، وكشفت شركة هيونداي كابيتال بيانات عن 146 من وكلائها لقروض الرهن العقاري.

وقد استغرق بنك شينهان أكثر من 15 ساعة للكشف عن الاختراق الخاص به، واستغرق بنك هانا ما يقرب من 42 ساعة، بينما استغرق بنك كي بي كوكمين قرابة 68 ساعة.

تقول المؤسسة الكورية للأمن المالي إن الخيط المشترك في هذه الاختراقات هو ARTEX AI، وهو نظام اختبار اختراق مفتوح المصدر يعتمد على نماذج لغوية كبيرة، ويتم توزيعه عبر GitHub بشكل رئيسي داخل الدوائر الناطقة بالصينية.

وذكر محللون أنهم اكتشفوا لأول مرة عبارة "ARTEX — وحدة تحكم الاختراق الذاتي" على الخوادم المرتبطة بهجوم Shinhan. كما فاز الأداة بمسابقة للأمن الهجومي نظمها مركز استجابة الأمن التابع لشركة Baidu هذا العام.

وضح مسؤول في المعهد أن الأداة لم تعمل بمفردها، بل استخدمها المخترق كأداة لاستخراج بيانات أنظمة الموظفين والشركاء الداخلية، والتي قال المسؤول إنها كانت "تدار بدرجة أقل من الصرامة" مقارنة بالخدمات المقدمة للجمهور.

وقال المعهد أيضاً إن هناك تطابقاً بين عنواني أو ثلاثة عناوين IP في كل بنك، وأن حظر أحدها دفع المتسلل إلى الانتقال إلى آخر، مع استمرار النشاط.

وحث رئيس هيئة تنظيم الأسواق المالية لي إيوغ-ون ممثلي القطاع في اجتماع طارئ عُقد في 4 أكتوبر على البقاء في "أعلى درجات التأهب."

أمرت هيئة الرقابة المالية (FSC)، وخدمة الإشراف المالي، والمؤسسة بإجراء عمليات تفتيش ذاتي طارئة في نحو 500 مؤسسة، مع مطالبة البنوك وشركات بطاقات الائتمان بالإبلاغ أولاً، وعلى بنوك الادخار وشركات التأمين ومشغلي الخدمات المالية الإلكترونية تقديم تقارير بحلول 8 أكتوبر.

تعتقد المؤسسة أن السرقة المالية المباشرة غير محتملة لأن المهاجمين لم يستولوا على التحكم في الحسابات، لكن عمليات الاحتيال عبر المكالمات الصوتية ستصبح أكثر صعوبة بكثير في الكشف عنها الآن بعد أن أصبح المهاجمون مسلحين بمعلومات حساسة دقيقة مثل تفاصيل القروض والائتمان.