Dalla fine di settembre, diversi istituti finanziari sudcoreani sono stati vittime di intrusioni che hanno portato al furto di dati sensibili. In una banca è stato compromesso un servizio di monitoraggio delle richieste di prestito destinato ai broker; in un'altra, l'hacker ha avuto accesso a un sistema di lavoro mobile utilizzato dai dipendenti. Gli attacchi hanno colpito servizi professionali meno visibili rispetto alle interfacce bancarie tradizionali, ma altrettanto ricchi di informazioni riservate.
ARTEX, il software che automatizza gli attacchi
Indagando sugli incidenti, i ricercatori di CrowdStrike hanno scoperto l'uso di ARTEX, uno strumento sviluppato in Cina e inizialmente distribuito come open source. ARTEX sfrutta modelli di intelligenza artificiale per automatizzare attività tipiche del penetration testing: ricerca di vulnerabilità, verifica della loro sfruttabilità e concatenamento delle operazioni. Il software può essere usato per valutare la sicurezza dei sistemi, ma anche per scopi illeciti, come in questo caso. L'hacker utilizzava principalmente DeepSeek v4.1-flash per far funzionare ARTEX, affiancandolo a Claude Code, GLM-5.3 e Grok 4.6 in sessioni complementari.
Esaminando l'infrastruttura, i ricercatori sono risaliti a due server controllati dal pirata: il primo ospitava ARTEX, il secondo, situato a Hong Kong, fungeva da centro operativo. Diverse directory erano accessibili pubblicamente e contenevano documenti compromettenti. Tra questi, la cronologia delle sessioni con Claude Code, dove l'hacker aveva chiesto all'AI informazioni sui circuiti di rivendita dei dati rubati in Corea del Sud, assistenza per trovare gruppi Telegram specializzati e persino la redazione di un curriculum da ricercatore in cybersicurezza, includendo le proprie attività con ARTEX. Per farlo, aveva fornito nome, numero di telefono, identificativo Telegram, percorso universitario e localizzazione nella provincia cinese del Guangdong.
Competenze limitate, AI decisiva
Interpellato da Reuters, Adam Meyers, responsabile delle operazioni di intelligence sulle minacce presso CrowdStrike, ritiene che l'hacker difficilmente avrebbe potuto condurre questa campagna senza il supporto dell'AI. Le sue competenze tecniche erano relativamente limitate, ma gli strumenti impiegati gli hanno permesso di attaccare più istituti in pochi giorni. Dopo la pubblicazione dell'indagine, lo sviluppatore di ARTEX ha annunciato l'interruzione della distribuzione pubblica e della manutenzione del software, condannando l'uso illegale. Il progetto è stato rimosso da GitHub, ma le versioni già scaricate continuano a circolare.
