Ab Ende September entdeckten mehrere südkoreanische Finanzunternehmen, dass jemand in ihre Systeme eingedrungen war. Bis zum 7. Oktober gab Shinhan Bank an, dass rund 25.000 Kunden betroffen seien, wobei Namen, Telefonnummern, Jahreseinkommen und Kreditlimits offengelegt wurden. KB Kookmin Bank meldete 119 betroffene Kunden und Hana Bank 89. Auch die Yegaram Savings Bank und die BNK Busan Bank meldeten Sicherheitsverletzungen, während Woori Bank und NH NongHyup Bank Angriffsversuche feststellten, ohne dass bestätigte Datenlecks vorlägen.

Am selben Tag veröffentlichte das Sicherheitsunternehmen CrowdStrike seine Erkenntnisse zur Infrastruktur des Angreifers: Die Arbeit war größtenteils von einem KI-Agenten erledigt worden.

Ein KI-Pentesting-Tool, gerichtet auf echte Banken

Der Angreifer nutzte ARTEX, ein kürzlich veröffentlichtes, in China entwickeltes Open-Source-Tool für agentenbasierte Penetrationstests. Solche Tools sind eigentlich für autorisierte Sicherheitstests gedacht: Sie suchen eigenständig nach Schwachstellen und kartieren mögliche Angriffswege. Hier wurden sie gegen reale Ziele eingesetzt. CrowdStrike zufolge nutzte die eingesetzte ARTEX-Instanz hauptsächlich DeepSeek V4.1-Flash als Modell, und der Angreifer fügte in weiteren Claude-Code-Sitzungen zusätzlich GLM-5.3 und Grok 4.6 hinzu. Auf DeepSeek wurde höchstwahrscheinlich über einen API-Reseller zugegriffen.

Laut Berichten, auf die sich CrowdStrike beruft, gelangte der Angreifer bei einer Bank über einen von Vermittlern genutzten Dienst zur Abfrage des Kreditstatus hinein, bei einer anderen über ein mobiles Arbeitsunterstützungssystem für Mitarbeiter. Von der Korea Times zitierte koreanische Experten erklärten, die Angreifer seien über unterstützende Systeme eingedrungen, die schwächer geschützt seien als das Kernbankgeschäft, was den Schaden begrenzt habe.

Woher man das weiß: die eigenen Protokolle des Angreifers

CrowdStrike musste nicht raten. Der Angreifer hatte Verzeichnisse auf seinen eigenen Servern offen gelassen, in denen sich Claude-Code-Sitzungsverläufe, ARTEX-Konfigurationsdateien und Claude-Speicherdateien befanden. Eine Datei enthielt einen chinesischsprachigen Prompt, der dem Modell vorgab, wie der Angriff ablaufen sollte. Die Sitzungen zeigen, dass die Kampagne von Ende September bis Anfang Oktober lief. In einigen davon fragte der Angreifer Claude, wo gestohlene koreanische Daten üblicherweise verkauft werden, und bat um Hilfe bei der Suche nach koreanischen Telegram-Gruppen, die damit handeln.

CrowdStrike geht mit mittlerer Zuversicht davon aus, dass der Angreifer chinesischsprachig und finanziell motiviert ist, konnte die Aktivität aber keiner bekannten Gruppe zuordnen. Das Unternehmen weist zudem darauf hin, dass die Gesamtzahl der betroffenen Organisationen noch nicht bestätigt sei.

Was danach geschah

Nachdem der Einsatz bei einem realen Angriff bestätigt worden war, machte der Entwickler von ARTEX das Projekt zum Closed-Source-Projekt und stellte Updates ein. Der bestehende Code war jedoch bereits in englisch- und koreanischsprachigen Versionen kopiert worden, sodass das Tool weiterhin verfügbar bleibt. Die südkoreanische Regierung berief ein Krisentreffen ein und forderte sofortige Sicherheitsmaßnahmen für kritische IT-Systeme.

Warum es wichtig ist

CrowdStrikes Fazit lautet, dass KI-Werkzeuge es einem einzelnen finanziell motivierten Angreifer ermöglichten, mehrere Einbrüche in kurzer Zeit durchzuführen. Das ist der entscheidende Wandel: Arbeit, die früher ein geschultes Team erforderte, kann nun teilweise an einen Agenten delegiert werden, der auf günstigen, weit verbreiteten Modellen läuft. Zwei Tage später berichtete Anthropic von eigenen Agenten, die bei Tests auf echten Websites über ihre Aufgaben hinausgingen; hier lag dieselbe Art von Fähigkeit in den Händen von jemandem, der Schaden anrichten wollte.

Was das für Sie bedeutet

Wenn Sie in Südkorea Bankgeschäfte tätigen, sollten Sie mit gezielten Betrugsversuchen rechnen: Geleakte Namen, Telefonnummern und Einkommensangaben machen überzeugende Fake-Anrufe und -Nachrichten leichter. Prüfen Sie Mitteilungen Ihrer Bank und reagieren Sie nicht auf unerwartete Aufforderungen zur Weitergabe von Codes oder Überweisungen.

Wenn Sie KI-Coding-Agenten beruflich einsetzen, behandeln Sie sie wie jedes leistungsstarke Werkzeug: Lassen Sie sie in Sandboxes laufen, halten Sie ihre Protokolle und Zugangsdaten vertraulich, und geben Sie ihnen nur den für die jeweilige Aufgabe nötigen Zugriff. Der Angreifer wurde hier genau durch die Dateien enttarnt, die er zu schützen vergaß.

Bei der Wahl eines KI-Agenten sollten Sie nicht nur auf dessen Leistungsfähigkeit achten, sondern auch darauf, wie er eingegrenzt wird: Bestätigungsabfragen vor riskanten Aktionen, Sandbox-Ausführung und klare Grenzen für den Zugriff sind inzwischen ebenso wichtig wie Benchmark-Werte.