ABD'li siber güvenlik şirketi CrowdStrike, kimliği belirsiz ve Çinli olduğu sanılan bir bilgisayar korsanının yapay zekâ destekli araçlarla çok sayıda Güney Koreli finans kurumuna sızdığını ve veri çaldığını bildirdi.
Şirketin çarşamba günü yayımladığı rapora göre saldırgan, eylül sonu ile ekim başında gerçekleştirdiği siber saldırılarda Çin'de geliştirilen açık kaynaklı yapay zekâ destekli sızma testi aracı ARTEX'i ve büyük dil modellerini kullandı.
Bu bulgular, Hana Bank, KB Kookmin Bank ve Shinhan Bank'ın da aralarında bulunduğu Güney Koreli finans kurumlarında yaşanan bir dizi veri sızıntısının ardından geldi. Finans otoriteleri ile soruşturma ekipleri olaylarla ilgili inceleme başlattı.
CrowdStrike'a göre ele geçirilen sistemler arasında bir bankanın finansal danışmanlar tarafından kullanılan kredi sorgulama hizmeti ile başka bir bankanın çalışanlara yönelik mobil iş destek sistemi yer aldı.
"Bu faaliyet henüz adı bilinen bir tehdit grubuna atfedilmedi; ancak tehdit aktörünün büyük olasılıkla Çinli olduğu ve mali amaç taşıdığı değerlendiriliyor," ifadeleri raporda yer aldı.
"Bu değerlendirme, Çin'de geliştirilen ARTEX aracının kullanılmasına ve Çince komutlara dayanarak orta düzey güvenle yapılmıştır."
Siber güvenlik şirketi, saldırganın ağırlıklı olarak DeepSeek v4.1-flash modelini kullandığını, bunu GLM-5.3 ve Grok 4.6 ile Claude Code oturumları üzerinden desteklediğini bildirdi.
Bir Claude Code oturumunda saldırgan, Claude'dan 26 yaşında olduğu ve Guangdong'daki Güney Çin Teknoloji Üniversitesi'nde eğitim gördüğü gibi kişisel bilgiler içeren bir siber güvenlik araştırmacısı özgeçmişi hazırlamasını istedi.
Ne var ki saldırganın kimliği, sızıntıların tam boyutu ve çalınan veri miktarı doğrulanamadı.
CrowdStrike, saldırılarda kullanılan iki sunucu tespit etti: Bunlardan biri Hong Kong'da bulunuyor ve saldırganın ana altyapısı olarak görev yapıyor; diğeri ise ARTEX'i barındırıyor ve büyük olasılıkla Güney Koreli finans kurumlarını hedef almak için kullanıldı.
Dosyaların analizi, saldırganın Claude'a çalınan Güney Kore verilerinin satıldığı pazar yerlerini ve bu bilgilerin satışında yer alan Telegram gruplarını sorduğunu ortaya koydu; bu durum mali bir güdüye işaret etti.
