Dalla fine settembre 2026, varie banche sudcoreane sono state oggetto di intrusioni che hanno portato alla sottrazione di dati sensibili. In una delle istituzioni, un servizio di monitoraggio delle richieste di prestito destinato ai broker è stato compromesso, mentre in un’altra la stessa agenzia ha consentito ad un aggressore di accedere a un sistema di lavoro su dispositivi mobili dedicato ai dipendenti.
Le indagini condotte da CrowdStrike hanno messo in luce l’uso di ARTEX, uno strumento open‑source nato in Cina, capace di automatizzare i test di intrusione con l’aiuto di modelli di intelligenza artificiale. L’attaccante ha fatto affidamento soprattutto su DeepSeek v4.1‑flash per far girare ARTEX, e ha impiegato anche Claude Code, oltre a GLM‑5.3 e Grok 4.6, durante le sessioni di attacco.
Analizzando le infrastrutture sfruttate, si sono individuati due server controllati dall’assassino. Il primo ospitava ARTEX, mentre il secondo, situato a Hong Kong, serviva da hub centrale per le operazioni. Entrambi i server contenevano directory pubblicamente accessibili contenenti documenti altamente compromettenti per i loro proprietari.
Le tracce delle conversazioni con Claude Code rivelano che l’hacker ha chiesto all’IA informazioni sui circuiti di rivendita dei dati rubati in Corea del Sud, ha cercato gruppi Telegram specializzati in questo commercio e ha persino richiesto la redazione di un curriculum da ricercatore in cybersicurezza, fornendo dettagli personali quali nome, numero di telefono, identificativo Telegram, percorso universitario e localizzazione nella provincia cinese del Guangdong.
Adam Meyers, responsabile delle operazioni di intelligence sulle minacce presso CrowdStrike, ha affermato che “l’hacker probabilmente non sarebbe stato in grado di condurre la campagna senza AI”. Secondo lui, le competenze tecniche dell’aggressore erano limitate, ma l’uso degli strumenti AI gli ha permesso di attaccare diversi istituti in pochi giorni. Le intrusioni hanno colpito servizi professionali destinati a broker e dipendenti, meno visibili rispetto alle interfacce bancarie pubbliche, ma altrettanto vulnerabili.
Dopo la pubblicazione dell’indagine, lo sviluppatore di ARTEX ha annunciato l’interruzione della distribuzione pubblica e della manutenzione del software, dichiarando l’uso a scopi illegali. Il progetto è stato rimosso da GitHub, sebbene le versioni già scaricate possano continuare a circolare.
