Korea Selatan Perluas Penyelidikan Pencurian Data Bank saat Pengembang ARTEX Hentikan Pembaruan Publik

Tujuh perusahaan keuangan dibobol saat penyelidikan meluas

Polisi Korea Selatan memperluas penyelidikan atas serangan peretasan terhadap sektor keuangan yang dilaporkan mengekspos informasi sekitar 66.000 individu dan 2.200 catatan perusahaan. Penyidik menduga para penyerang menggunakan ARTEX, sebuah alat kecerdasan buatan yang dirancang untuk pengujian keamanan, sementara pengembangnya mengumumkan penghentian distribusi dan pembaruan publik.

Jumlah personel satuan tugas kepolisian bertambah dari 28 menjadi 43 penyidik, dengan 15 personel tambahan ditugaskan untuk forensik digital dan kerja sama internasional. Pertanyaan utama masih belum terjawab: siapa yang melancarkan serangan, berapa banyak orang yang terlibat, dan sejauh mana AI berkontribusi terhadap pencurian tersebut.

Tujuh lembaga melaporkan kebocoran: Shinhan Bank, KB Kookmin Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank, dan Hyundai Capital. NH NongHyup Bank dan Woori Bank juga dilaporkan menjadi sasaran, tetapi keduanya belum mengonfirmasi kebocoran data. Perbedaan ini membantu menjelaskan mengapa sejumlah laporan menyebut tujuh lembaga yang dibobol, sementara laporan lain mengidentifikasi setidaknya sembilan sasaran.

Shinhan mengungkapkan bahwa informasi milik 25.729 nasabah dicuri, termasuk nama, nomor telepon, dan informasi pendapatan yang diserahkan dalam pengajuan pinjaman. Yegaram melaporkan sekitar 40.000 nasabah terdampak. Jika dijumlahkan, kedua angka itu mencapai 65.729, hampir sama dengan total individu yang dilaporkan, yakni sekitar 66.000. Hana melaporkan 89 nasabah terdampak, sementara KB Kookmin melaporkan 119.

Laporan berbeda mengenai total paparan data. Satu laporan menyebut jumlahnya bisa mencapai 68.000 nasabah, sementara laporan lain memisahkan sekitar 66.000 individu dari 2.200 catatan perusahaan. Kedua kategori tersebut tidak bisa begitu saja digabungkan sebagai jumlah korban individu. Pihak berwenang belum menerbitkan total yang telah direkonsiliasi untuk memastikan berapa orang berbeda yang terdampak di seluruh lembaga.

Informasi yang terungkap berbeda-beda di setiap bank. Hana mengatakan nama, nomor identitas pribadi, dan nomor telepon dicuri, tetapi tidak ada informasi keuangan. Dalam kampanye yang lebih luas, catatan yang terekspos dilaporkan mencakup pendapatan tahunan, batas pinjaman, dan produk pinjaman. Pencurian perincian tersebut tidak sama dengan pencurian simpanan, meski bisa memberi bahan bagi penipu untuk melakukan upaya penyamaran yang meyakinkan.

Bagaimana kampanye dan respons berlangsung

Pihak berwenang meyakini serangan utama terjadi sekitar 27 September hingga 1 Oktober. Shinhan diyakini diretas pada 30 September dan mengungkap kebocoran pada 1 Oktober. Temuan keamanan berikutnya dan penarikan ARTEX dari pengembangan publik telah memperluas penyelidikan melampaui pengungkapan awal oleh bank.

• Juli: ARTEX tersedia gratis di GitHub.
• September: Alat tersebut memenangkan tantangan serangan dan pertahanan Agent+ milik Baidu.
• 27 September hingga 1 Oktober: Penyidik menempatkan dugaan kampanye serangan terhadap sektor keuangan dalam rentang waktu perkiraan ini.
• 30 September: Pihak berwenang meyakini pembobolan Shinhan terjadi.
• 1 Oktober: Shinhan mengungkapkan kepada publik kehilangan informasi nasabah.
• 8 Oktober: Pengembang Autumn-27 mengumumkan ARTEX tidak akan lagi menerima pembaruan publik dan akan beralih ke format privat. Akun Telegram yang tengah diselidiki juga dihapus pada hari itu.
• 11 Oktober: Temuan baru mengungkap kemungkinan hubungan antara akun tersebut dan sebuah kelompok China yang menjual serangan untuk melumpuhkan layanan daring.

Pengerahan awal kepolisian mencakup 28 penyidik dalam empat tim dari Unit Investigasi Teror Siber Badan Kepolisian Nasional. Penambahan menjadi 43 personel berarti peningkatan sekitar 54 persen, dengan staf tambahan berfokus pada pemulihan bukti digital dan kerja lintas negara.

Fungsi ARTEX dan temuan penyidik

ARTEX bukan model bahasa besar. Ini adalah platform otomasi yang terhubung ke model eksternal, termasuk ChatGPT, Claude, dan DeepSeek, serta menggunakan keluaran model tersebut untuk mengoordinasikan tugas pengujian keamanan. Uji penetrasi adalah upaya yang mendapat izin untuk menemukan kelemahan sebelum dieksploitasi penyerang berniat jahat.

Alat ini dibuat oleh insinyur keamanan siber China, Li Puhua, yang menggunakan alias Autumn dan nama pengguna GitHub Autumn-27. Rancangannya memungkinkan agen AI mengumpulkan informasi tentang sasaran, mencari kerentanan, merencanakan jalur masuk ke sistem, menjalankan alat keamanan, dan memverifikasi kelemahan. Rangkaian yang sama dapat digunakan untuk pengujian yang sah maupun penyusupan tanpa izin, bergantung pada siapa yang mengarahkannya dan ada atau tidaknya izin.

Moon Jong-hyun, kepala pusat keamanan di perusahaan keamanan siber Korea Selatan Genians, mengidentifikasi label konsol ARTEX pada header HTML di server yang diyakini mengendalikan serangan. Label tersebut berbunyi "ARTEX - 自主渗透测试控制台," yang berarti konsol uji penetrasi otonom. Jejak semacam itu mendukung penilaian bahwa perangkat lunak tersebut digunakan, tetapi tidak memastikan identitas operatornya.

CrowdStrike menilai penyerang kemungkinan menggunakan ARTEX bersama Claude dan Claude Code milik Anthropic. Laporan penyelidikan lain menyebut penggunaan beberapa model, termasuk DeepSeek, bersama ARTEX. Laporan-laporan ini mengarah pada penggunaan kombinasi alat, bukan satu sistem AI yang bertindak sendiri; penjelasan lengkap mengenai model mana yang menjalankan tugas tertentu belum dipastikan.

Bantuan AI tidak berarti penyerang bertindak sendiri

Perbedaan antara otomasi dan tanggung jawab manusia menjadi inti kasus ini. AI dapat mempersingkat waktu untuk memeriksa sistem, menafsirkan hasil, dan menyiapkan kode, sementara seseorang tetap memilih sasaran dan mengarahkan operasi. Bukti penggunaan AI tidak menunjukkan bahwa seluruh penyusupan berlangsung tanpa keputusan manusia.

Seorang pejabat Korea Financial Security Institute menjelaskan peran arahan manusia dalam serangan tersebut:

Memang benar AI digunakan dalam serangan, tetapi AI tidak bertindak sendiri tanpa keterlibatan manusia. Seorang peretas menggunakan AI sebagai alat.

CrowdStrike mengatakan catatan sesi AI mencakup pertanyaan tentang tempat informasi kebocoran data Korea yang dicuri biasanya dijual dan permintaan bantuan untuk menemukan grup Telegram Korea yang digunakan untuk menjual data. Permintaan tersebut berkontribusi pada penilaian bahwa aktivitas itu bermotif finansial. Namun, permintaan itu sendiri tidak membuktikan bahwa catatan yang dicuri benar-benar dijual.

Kim Seung-joo, profesor di Sekolah Keamanan Siber Korea University, memperingatkan bahwa alat seperti ARTEX dapat memudahkan orang dengan pengalaman teknis lebih sedikit untuk melancarkan serangan:

Alat peretasan berbasis AI akan terus bermunculan, sehingga orang awam lebih mudah melancarkan serangan. Akibatnya, serangan seperti ini akan semakin sering terjadi.

Kekhawatiran praktisnya adalah kecepatan dan skala. Operator dapat menggunakan agen untuk memeriksa beberapa organisasi secara berurutan, alih-alih melakukan setiap tugas secara manual. Hal ini tidak menghilangkan kebutuhan akan kelemahan yang bisa dieksploitasi, jalur akses, atau pertimbangan manusia, tetapi dapat mengurangi upaya yang diperlukan untuk memanfaatkannya.

Bukti yang mengarah ke China masih diperdebatkan

CrowdStrike menilai operator yang dicurigai kemungkinan berbahasa Mandarin, bermotif finansial, dan berada di Provinsi Guangdong. Tingkat keyakinan yang diberikan untuk penilaian ini sedang, bukan kepastian.

Sebagian identifikasi tersebut berasal dari sesi Claude yang meminta dibuatkan resume peneliti keamanan. Sesi itu mencantumkan usia 26 tahun, lokasi di Maoming, perincian pendidikan, dan akun Telegram. CrowdStrike menilai informasi itu kemungkinan milik penyerang. Orang yang terkait dengan nomor telepon yang dipublikasikan membantah keterlibatan dan mengatakan informasi pribadinya digunakan tanpa izin.

Financial Supervisory Service mengidentifikasi 28 alamat IP yang terkait dengan upaya peretasan. Laporan berbeda mengenai sebaran geografisnya: satu menyebut sekitar selusin negara, sementara laporan lain mencantumkan Amerika Serikat, Jepang, Jerman, dan setidaknya 10 negara lainnya. Penyidik juga dilaporkan mengidentifikasi server kendali di Hong Kong, server serangan terpisah, dan jalur akses alternatif.

Alamat IP menunjukkan koneksi internet atau lokasi server, bukan selalu orang yang mengendalikannya. Demikian pula, penggunaan perangkat lunak buatan pengembang China tidak membuktikan bahwa penyerangnya orang China. Aditya Das, analis di Brave New Coin, memperingatkan agar kesimpulan itu tidak ditarik hanya berdasarkan ARTEX.

Juru bicara Kementerian Luar Negeri China Mao Ning mengatakan kementerian tidak mengetahui kasus spesifik tersebut dan bahwa China secara konsisten menentang serta memerangi peretasan. Belum ada identitas yang dikonfirmasi atau temuan keterlibatan negara yang diumumkan.

Akun Telegram membuka jalur penyelidikan lain

Analisis keamanan terpisah menghubungkan akun Telegram YY520CN dengan GodNet, sebuah komunitas daring yang dibuat oleh Vitas, kelompok China yang menjual serangan penolakan layanan terdistribusi. Serangan ini membanjiri layanan dengan lalu lintas agar tidak bisa diakses. Aktivitas tersebut berbeda dari pencurian catatan bank, sehingga hubungan dengan komunitas itu merupakan petunjuk penyelidikan, bukan bukti bahwa kelompok tersebut melakukan pembobolan.

Akun itu muncul dalam daftar moderator GodNet pada September 2024. Analisis mencocokkan informasi keanggotaan Telegram, aktivitas GitHub, dan kredensial yang terekspos oleh malware pencuri kata sandi. YY520CN dihapus pada 8 Oktober setelah namanya dipublikasikan melalui analisis catatan penggunaan AI di server yang terkait dengan serangan.

Akun baru kemudian muncul dengan nama pengguna yang sama, dan sebuah kanal terkait mengunggah bantahan. Belum jelas apakah orang yang sama mengendalikan akun lama dan penggantinya. Bantahan dari pemilik nomor telepon menambah persoalan identifikasi yang belum dipecahkan penyidik.

Analisis terhadap anggota GodNet kedua menemukan alamat email dalam riwayat penyuntingan GitHub yang terkait dengan kredensial yang dicuri pada 2023. Catatan tersebut mencakup perincian login Microsoft dan Oracle Cloud, yang mengindikasikan pemilik akun mungkin membantu mengoperasikan sistem teknis kelompok itu.

Anggota kedua tersebut belum dihubungkan secara langsung dengan penyusupan ke bank. Membandingkan kredensial curian dengan catatan pelanggan layanan cloud dapat menjadi jalur lain untuk mengidentifikasi operator akun, tetapi hubungan antarakun itu tidak memastikan siapa yang melakukan pencurian atau apakah satu orang bertanggung jawab.

Penghentian pengembangan publik ARTEX tidak dapat menarik kembali salinan yang sudah ada

Pada 8 Oktober, Autumn-27 mengumumkan ARTEX akan menjadi perangkat lunak sumber tertutup, tanpa versi publik atau dukungan pemeliharaan lanjutan. Pengembang menyebut penyalahgunaan alat tersebut sebagai alasan, meski pengumuman itu tidak secara langsung menyebut serangan terhadap sektor keuangan Korea Selatan. Halaman GitHub-nya kemudian dilaporkan telah menghilang.

Pengembang juga mengatakan penggunaan ilegal bertentangan dengan tujuan proyek dan menyatakan tidak bertanggung jawab atas pelanggaran yang dilakukan pengguna. Sebelum penarikan tersebut, proyek ini menyebut tujuannya sebagai pembelajaran pribadi, penelitian kode, dan verifikasi teknis lokal, bukan pengujian sistem daring tanpa izin.

Penghentian distribusi publik membatasi akses mendatang melalui proyek asli dan mengakhiri pemeliharaan publiknya. Namun, hal itu tidak dapat menghapus salinan yang sudah diunduh pengguna atau mencegah salinan tersebut tetap beroperasi. Dengan demikian, pengumuman itu mengubah distribusi perangkat lunak, bukan menjadi bukti bahwa kemampuan untuk melancarkan serangan telah hilang.

Keputusan tersebut juga memperjelas perbedaan antara pengembang asli dan pihak yang diduga menggunakan perangkat lunak itu untuk menyerang bank. Penyidik masih perlu menghubungkan infrastruktur, akun, dan tindakan dengan operator yang bisa diidentifikasi. Asal-usul alat dan penghentian distribusinya oleh pengembang tidak menyelesaikan tugas tersebut.

Sistem pendukung dan tinjauan keamanan yang lebih luas

Jalur akses yang dicurigai mengarah ke sistem di luar jaringan inti perbankan. Autentikasi yang lemah di portal perekrut pinjaman, alat seluler karyawan, dan sistem pendukung penjualan diidentifikasi sebagai kemungkinan masalah. Melindungi sistem pembayaran belum tentu melindungi semua aplikasi yang menyimpan informasi nasabah atau mendukung pemrosesan pinjaman.

Hyobin Lee, profesor di Sogang University, menyebut sistem pendukung sebagai area yang kurang mendapat perhatian:

Sejumlah sistem pendukung, seperti portal informasi agen pinjaman dan aplikasi seluler internal yang digunakan karyawan, tampaknya mendapat perhatian keamanan yang lebih sedikit.

Manajemen permukaan serangan secara berkelanjutan merupakan salah satu respons yang diusulkan. Artinya, organisasi perlu terus membuat inventaris sistem yang dapat diakses dari luar dan memeriksanya untuk menemukan layanan terbuka, kontrol akses yang lemah, serta kerentanan. AI dapat membantu pekerjaan tersebut, tetapi responsnya juga harus mencakup perbaikan atas kelemahan yang ditemukan.

Presiden Lee Jae Myung menyerukan percepatan pengembangan dan penerapan AI untuk keamanan siber, peninjauan segera terhadap sistem kritis, serta perlindungan yang lebih kuat bagi infrastruktur nasional. Menjelaskan urgensi respons tersebut, Lee mengatakan:

Kecepatan adalah hal yang utama.

Laporan berbeda dalam menyebut pejabat yang memberikan peringatan di kabinet. Sebagian menyebut Presiden Lee sebagai pihak yang menyerukan perombakan keamanan berbasis AI; laporan lain mengaitkan peringatan tentang kebocoran lebih lanjut dan risiko di luar sektor keuangan dengan Perdana Menteri Han Seong-sook. Arah kebijakan yang dilaporkan konsisten: pemeriksaan lebih luas dan tindakan sebelum insiden berikutnya, bukan respons yang hanya berfokus pada pemulihan kerusakan setelah kejadian.

Dua gereja besar dan Korea Electric Power Corp. juga mengonfirmasi adanya akses tanpa izin ke sistem daring. Belum diketahui apakah insiden tersebut terkait dengan kampanye terhadap bank. Pengungkapan itu memperluas kekhawatiran keamanan saat ini tanpa membuktikan adanya satu penyerang atau metode yang sama.

Perlindungan dari penipuan dan keputusan yang masih tertunda

Financial Services Commission dan Financial Supervisory Service mengatakan belum ada kasus terkonfirmasi mengenai kerugian finansial atau uang yang dicuri akibat phishing menggunakan data yang bocor. Mereka menyarankan nasabah agar tidak terlalu khawatir mengenai keamanan dana mereka. Pernyataan itu merujuk pada kerugian yang telah dikonfirmasi saat itu, bukan jaminan bahwa penipuan tidak akan terjadi kemudian.

Nama, nomor telepon, perincian pendapatan, dan informasi tentang pengajuan pinjaman baru-baru ini dapat membantu penipu menyamar sebagai pegawai bank. Hyobin Lee juga memperingatkan bahwa informasi curian dapat digabungkan dengan basis data lain yang bocor, sehingga risiko meluas melampaui kebocoran awal.

Regulator memerintahkan bank untuk membentuk layanan bantuan bagi nasabah terdampak, menggunakan AI-based Anti-Phishing Sharing and Analysis Platform, meningkatkan pemantauan penipuan untuk sementara, serta memberikan pemulihan dan kompensasi kepada nasabah yang menjadi korban penipuan. Shinhan meminta maaf dan membuat laman tempat nasabah dapat memeriksa apakah mereka terdampak.

Perusahaan keuangan sepakat meninjau pengajuan pinjaman daring, pembukaan rekening baru, dan transfer besar yang melibatkan informasi terkait korban kebocoran. Pemeriksaan identitas tambahan akan diwajibkan bila diperlukan. Regulator juga dilaporkan tengah mempertimbangkan persyaratan audit yang lebih menyeluruh.

Financial Supervisory Service membagikan 28 alamat IP mencurigakan kepada perusahaan keuangan dan meminta mereka menyelesaikan pemeriksaan serta memperbaiki kelemahan paling lambat Kamis setelah pengumumannya. Belum ada hasil pemeriksaan yang dirangkum secara menyeluruh, dan belum ada tenggat waktu publik lain dengan tanggal yang ditetapkan.

Polisi telah meminta Financial Services Commission menentukan apakah sistem yang terdampak memenuhi kriteria sebagai infrastruktur keuangan elektronik. Klasifikasi tersebut dapat memicu kewajiban untuk memberi tahu Serious Crimes Investigation Agency yang baru dibentuk dan memengaruhi apakah kasus akan dialihkan. Belum ada keputusan yang diumumkan.

Karena itu, perkembangan substantif berikutnya adalah identifikasi operator, rekonsiliasi jumlah korban, temuan tentang jalur masuk, dan keputusan mengenai pihak yang bertanggung jawab atas penyelidikan. Tidak satu pun persoalan tersebut bisa dipastikan hanya dari bukti penggunaan ARTEX.

Poin-poin Utama

• Tujuh lembaga keuangan melaporkan pembobolan; dua lembaga lainnya dilaporkan menjadi sasaran tanpa kebocoran data yang terkonfirmasi.
• Paparan yang dilaporkan mencakup sekitar 66.000 individu dan 2.200 catatan perusahaan, sementara laporan lain menyebut hingga 68.000 nasabah.
• Satuan tugas kepolisian bertambah dari 28 menjadi 43 penyidik.
• Bukti mengarah pada operator manusia yang menggunakan ARTEX dan model AI eksternal, bukan sistem AI yang bertindak sendiri.
• Klaim identitas dan kemungkinan hubungan dengan komunitas serangan China belum terkonfirmasi dan masih diperdebatkan.
• Pengembang ARTEX menghentikan pembaruan publik, tetapi salinan yang sudah diunduh masih dapat digunakan.
• Regulator melaporkan belum ada kerugian phishing yang terkonfirmasi akibat data yang bocor dan memerintahkan pemantauan serta pemeriksaan identitas yang lebih kuat.