韩国多家银行近期遭遇信息泄露事件，疑似黑客曾使用 AI 编码工具咨询窃取数据售卖渠道。CrowdStrike 通过分析攻击者自主管理服务器中的开放目录，发现了相关会话日志。
上周，韩国多家银行陆续披露客户数据泄漏情况。根据 CrowdStrike 10 月 7 日发布的报告，相关攻击行动使用了中国开发的 AI 渗透测试工具及多种语言模型协同实施。
韩国银行泄漏事件最新进展
9 月底至 10 月初，韩国多家银行连续遭遇黑客袭击。新韩银行于 9 月 30 日确认遭遇信息泄漏，并于次日透露，约 25 000 名客户受影响。攻击者突破了信贷业务移动服务端的身份验证机制，获取到用户相关数据。
泄露数据涉及姓名、手机号、年收入、授信额度等敏感信息，同时还包含 66 组韩国国家身份证号码（居民登记号）。
紧接着，国民银行（KB Kookmin Bank）于 10 月 2 日宣布，企业员工移动系统中有 119 名客户数据泄露。韩亚银行（Hana Bank）披露受影响客户 89 人，BNK 银行称共有 11 名外包员工的相关信息被窃取。
韩国总统李在明（Lee Jae Myung）随后在内阁会议上就此次事件提出 AI 相关质询。警方已启动全面调查。
“部分黑客事件中，已经出现 AI 被用于实施攻击的迹象，引发公众极大担忧与不安。”他表示。
开放服务器揭示攻击者与 AI 的对话内容
CrowdStrike 于 10 月 7 日公布调查结果。攻击者自控服务器的开放目录中，发现了 Claude Code —— Anthropic 推出的 AI 编码助手 —— 的多段会话历史，以及其他配置数据文件。
“对威胁方自主管理的开放目录分析显示，留存有 Claude Code 会话历史、ARTEX 配置文件及 Claude 内存档案，直观反映了攻击者的操作手段与使用工具。”报告称。
报告指出，黑客使用了 ARTEX，这是一款由中国开发的开源智能渗透测试（pentesting）工具。
总部位于香港的一台服务器成为此次攻击者的主要基础设施。CrowdStrike 表示，一组 IP 地址运行着 ARTEX 实例，极有可能正是韩国攻击事件背后的“主谋”。
CrowdStrike 指出，该 ARTEX 实例将 DeepSeek v4.1-flash 作为核心 AI 模型。同时，攻击者还在其他 Claude Code 会话中使用了智谱 AI 的 GLM-5.3 和 xAI 的 Grok 4.6。
DeepSeek 此前也曾出现在 TeamT5 于 8 月发布的有关中国黑客的报告中。台湾安全公司发现，部分与国家有关的攻击团体在引入 DeepSeek 及其他开源 AI 工具后，攻击次数翻倍。
攻击者曾咨询 Telegram 黑市信息
在 ARTEX 活动同时，攻击者还向 Claude 询问，威胁行为者通常会在哪里出售韩国泄露数据。同一用户还试图获取在 Telegram 上贩卖此类信息的韩国群组资源。
CrowdStrike 并未指明此次行动背后的具体团伙。其评估认为，该行为者很可能以经济利益为目标，且为中国语系使用者，这一判断基于 ARTEX 的使用情况及中文提示词。
简历请求或揭示攻击者身份
在另一次会话中，该用户让 Claude 生成一份以 ARTEX 攻击成果为卖点的安全研究员简历。相关提示中还包含 Telegram 用户名、26 岁以及广东茂名的地理位置。
CrowdStrike 表示，这些细节极有可能与攻击者本人有关，但目前尚无法最终确认。此外， CrowdStrike 还发现，攻击者最初曾输入“2007 年出生”作为个人信息。
同一 Telegram 用户名还出现在针对某基于 Telegram 的 NFT 礼品市场的漏洞探测过程中（Claude Code 会话中）。
“虽然目前尚未确定具体攻击团体，但可以合理判断，该威胁行为者很可能为讲中文、以经济利益为导向的攻击者。”CrowdStrike 补充道。
CrowdStrike 分析认为，AI 工具可助攻经济型攻击者在短时间内高效发起多次入侵。此前，Anthropic 也曾表示，AI 已能协助低技术门槛黑客执行更复杂的攻击任务。
CrowdStrike 预计，攻击者未来还将不断尝试采用新型 AI 工具。不久前，该公司曾与 100 多家企业共同签署声明，警告称AI 驱动的网络攻击将激增。
订阅我们的 YouTube 频道，获取行业领袖与资深媒体人专业解读
