Южная Корея смягчила правила банковской безопасности для борьбы с ИИ-атами, после чего атаки с использованием ИИ всё же произошли

Комиссия по финансовым услугам Южной Кореи приостановила следующий этап программы, направленной на смягчение правил безопасности банков. Агентство приняло это решение за день до того, как должны были быть отобраны следующие банки.

Причиной отмены стала серия кибератак с использованием ИИ, которые затронули семь финансовых компаний и привели к раскрытию десятков тысяч записей о клиентах.

Делает ли ИИ банки Южной Кореи безопаснее?

Комиссия по финансовым услугам Южной Кореи приостановила следующий этап своей программы дерегулирования банков после серии взломам с помощью ИИ. Идея изначально заключалась в том, что смягчение правил безопасности банков усилит защиту благодаря ИИ, однако эти недавние атаки затронули даже компании, получившие самые высокие рейтинги безопасности.

Правило, которое предполагалось смягчить, — это корейское требование о сетевой изоляции, обязывающее финансовые компании физически отделять свои внутренние бизнес-системы от интернета.

Это правило было введено первоначально из-за кибератак конца 2000-х годов: государственные учреждения попали под его действие с 2007 года, а банки — с 2014 года. На протяжении многих лет оно работало эффективно. Например, во время вспышки WannaCry в 2017 году финансовый сектор Кореи практически не пострадал, поскольку вредоносное ПО не могло проникнуть в изолированные сети.

Однако с появлением генеративного ИИ регуляторы заявили что что это правило мешает банкам использовать те самые инструменты на базе ИИ, которые необходимы для выявления угроз, поэтому Комиссия по финансовым услугам (FSC) начала предоставлять исключения.

Вице-председатель Квон Дэ Ён созвал круглый стол в мае по вопросам безопасности перед лицом рисков, связанных с продвинутыми ИИ-технологиями, и первый этап смягчения правил затронул 49 компаний с активами не менее 10 триллионов вон и штатом не менее 1000 сотрудников; каждой из них было предоставлено годичное освобождение для тестирования систем защиты на основе ИИ.

Второй этап должен был расширить критерии допуска до 75 компаний, снизив порог активов до 2 триллионов вон и минимальную численность персонала до 300 человек. Количество отобранных компаний также должно было увеличиться с 10 до 15. Отбор планировалось провести 7 октября.

Теперь FSC заявляет, что требуется дополнительная проверка со стороны Службы финансового надзора, поскольку в инциденте выявлены нарушения. Регулятор настаивает на том, что по-прежнему поддерживает принцип дерегулирования.

Какие взломы были совершены с помощью ИИ?

Нарушения начались 30 сентября в Shinhan Bank, где внешняя сторона обошла проверки личности в сервисе обслуживания кредитных агентов и получила доступ к персональным данным примерно 25 000 клиентов.

После обнаружения утечки FSC распространила IP-адреса злоумышленника, что побудило другие компании проверить свои журналы и обнаружить, что их системы также были скомпрометированы.

По сообщениям, было скомпрометировано 25 727 записей в Shinhan, 119 — в KB Kookmin Bank, 89 — в Hana Bank и 11 записей о внешних разработчиках в BNK Busan Bank.

Затем ущерб достиг вторичных кредиторов, таких как Yegaram Savings Bank, которая сообщила об утечке, затронувшей около 40 000 клиентов, что стало крупнейшим показателем на данный момент. Welcome Savings Bank потеряла до 2 200 корпоративных записей, а Hyundai Capital раскрыла данные 146 своих агентов по ипотечному кредитованию.

По сообщениям, Shinhan обнаружила нарушение более чем через 15 часов, Hana — почти через 42 часа, а KB Kookmin — почти через 68 часов.

Корейский институт финансовой безопасности заявляет общей чертой этих взломов является ARTEX AI, открытая система для тестирования на проникновение с использованием больших языковых моделей, распространяемая на GitHub преимущественно в китайскоязычном сообществе.

Аналитики, по сообщениям, впервые обнаружили строку «ARTEX — Autonomous Penetration Testing Console» на серверах, связанных с атакой на Shinhan. Этот инструмент также победил в конкурсе по кибербезопасности, организованном Центром реагирования на инциденты безопасности Baidu в этом году.

Представитель института уточнил, что инструмент действовал не самостоятельно и был использован хакером лишь как средство для извлечения данных внутренних систем сотрудников и партнеров, которые, по словам представителя, были «менее строго защищены», чем сервисы, предоставляемые широкой публике.

В институте также отметили, что в каждом банке пересекались два-три IP-адреса, и блокировка одного просто перенаправляла злоумышленника к другому, при этом активность продолжалась.

Председатель FSC Ли Эог-вон призвал представителей отрасли на экстренном совещании 4 октября находиться на «максимальной степени готовности».

FSC, Служба финансового надзора (FSS) и институт распорядились провести экстренные самопроверки примерно в 500 компаниях: банки и компании, выпускающие карты, должны отчитаться первыми, а сберегательные банки, страховщики и операторы электронных финансов — до 8 октября.

Институт считает, что прямое финансовое хищение маловероятно, поскольку злоумышленники не захватили контроль над счетами, но голосовые фишинговые схемы теперь будут гораздо сложнее обнаруживаться, поскольку злоумышленники вооружены точной конфиденциальной информацией, такой как данные о кредитах и кредитных картах.