Polícia sul-coreana investiga hacks da Bithumb e Daishin ligados a onda de violações com IA

As violações de dados na Bithumb, Daishin Securities e Mirae Asset Global Investments desencadearam um inquérito preliminar pela Agência Nacional de Polícia da Coreia do Sul.

Os investigadores da agência policial estão a analisar a extensão dos dados roubados na mais recente violação e a verificar se está ligada a uma onda anterior de ataques assistidos por IA que atingiram 16 empresas financeiras no país.

Quais empresas sul-coreanas foram alvo de hacking?

A Daishin Securities, a Bithumb e a Mirae Asset Global Investments foram as últimas empresas atingidas numa série de violações concentradas na Coreia do Sul. A mesma equipa do Escritório Nacional, que já trabalhava nos ataques bancários anteriores, assumiu a investigação dos novos incidentes desde Wednesday morning (Wednesday morning).

Segundo relatos locais, a Daishin Securities foi a mais afetada, com os dados pessoais e de crédito de 38.490 clientes expostos.

Até o momento, a Bithumb confirmou que os atacantes acessaram dados dos funcionários. A corretora ainda está avaliando se as informações dos membros também foram roubadas.

Informações dos sistemas internos de negócios da Mirae Asset Global Investments foram expostas. No entanto, o comunicado da empresa não apontou evidências de que dados pessoais de crédito tenham sido subtraídos.

Os números dos três novos incidentes, quando totalmente confirmados, somarão aproximadamente 100.000 registros expostos em 16 empresas financeiras até outubro de 14.

Os ataques na Coreia do Sul estão conectados?

Embora nenhuma ligação tenha sido confirmada, investigadores da Agência Nacional de Polícia da Coreia do Sul estão comparando métodos utilizados nas recentes violações para identificar correspondências e determinar se os ataques são isolados.

O veículo local Seoul Economic Daily citou um oficial da polícia afirmando: "Não estamos descartando a possibilidade de que este tenha sido um ataque da mesma pessoa por trás do caso de hacking bancário."

Se os investigadores confirmarem uma conexão, isso significa que os mesmos atacantes que usaram o ARTEX para atingir bancos estão por trás dessas violações de finais de outubro. O ARTEX é uma ferramenta de teste de penetração agnóstica de código aberto construída na China que opera junto com grandes modelos de linguagem, como o Claude Code.

reportou o Cryptopolitan que a CrowdStrike encontrou os próprios logs de sessão do Claude Code do atacante, arquivos de configuração e arquivos de memória do ARTEX em diretórios de servidor expostos.

A CrowdStrike identificou um operador financiado por motivos financeiros, falante de chinês, com confiança moderada, com base nas avaliações dos arquivos recuperados. Como o atacante usou as mesmas ferramentas para redigir um currículo, ele vazou seus próprios contatos e detalhes do Telegram, que a CrowdStrike disse podem pertencer a um homem de 26 anos de Maoming, Guangdong.

Notavelmente, a empresa de segurança admitiu que os identificadores não são 100% confiáveis.

Especialistas sul-coreanos são céticos quanto à participação chinesa simplesmente pelo fato de a ferramenta ser construída na China. Um professor da Escola de Pós-Graduação em Segurança da Informação da Universidade Coreana questionou se o ARTEX foi a única ferramenta usada nos ataques.

O número de vítimas continua crescendo

No início desta semana, o KB Kookmin Bank anunciou que uma reavaliação detalhada elevou seu número confirmado de vítimas de 119 para 2.210. A Mirae Asset Life Insurance, uma entidade separada, também detectou intrusões e atraiu uma inspeção urgente no local do Serviço de Supervisão Financeira.

A Comissão de Serviços Financeiros já realizou uma revisão de segurança em 555 empresas financeiras e identificou falhas em 130 delas, incluindo a ausência de correções de segurança e falta de monitoramento em tempo real.

Por sua vez, a Bithumb está conduzindo uma campanha alertando os clientes de que dados pessoais vazados estão sendo reutilizados em golpes subsequentes de phishing e acesso remoto.