یک عامل تهدید (Threat Actor) احتمالا تنها، با استفاده از یک ابزار تست نفوذ (Penetration Testing) مبتنی بر هوش مصنوعی به نام ARTEX، به چندین سازمان مالی در کره جنوبی نفوذ کرده و موفق به سرقت داده‌های مشتریان و کارکنان شده است.
جزئیات عملیات و اهداف
این فعالیت‌ها که از اواخر سپتامبر تا اوایل اکتبر ۲۰۲۶ صورت گرفته است، بانک‌ها، مؤسسات پس‌انداز، شرکت‌های سرمایه‌گذاری و سرویس‌های وام آنلاین را هدف قرار داده است. این مورد نشان می‌دهد که چگونه ابزارهای AI متن‌باز (Open-source) می‌توانند به یک اپراتور تنها اجازه دهند تا عملیات نفوذ سریع و گسترده‌ای را علیه اهداف متعددی اجرا کند.
گزارش‌ها حاکی از آن است که نفوذها بر روی سیستم‌هایی متمرکز شده بود که سطح حفاظتی کمتری نسبت به پلتفرم‌های اصلی بانکی داشتند. برای مثال، در بانک Shinhan، مهاجم به سرویس استعلام پیشرفت وام که توسط کارگزاران مالی استفاده می‌شد، دسترسی پیدا کرد و در بانک Kookmin، یک سیستم داخلی پشتیبانی از کار موبایل برای کارکنان مورد compromet قرار گرفت. سایر سازمان‌های متأثر شامل Hana Bank، BNK Busan Bank و Hyundai Capital نیز گزارش شده‌اند.
کشف‌های فنی توسط CrowdStrike
تحلیل‌گران CrowdStrike با شناسایی زیرساخت‌های مرتبط با این کمپین، دایرکتوری‌های افشاش‌شده‌ای را یافتند که شامل موارد زیر بود:
- سوابق نشست‌های (Session records) ابزار Claude Code
- فایل‌های پیکربندی ARTEX
- فایل‌های حافظه Claude
این آثار به پژوهشگران دیدگاه منحصر‌به‌فردی درباره ابزارهای مورد استفاده، مدل‌های AI انتخابی، زیرساخت و جریان کاری (Workflow) مهاجم داد. اگرچه این فعالیت به گروه شناخته‌شده‌ای از عوامل تهدید مرتبط نشده است، اما با اطمینان متوسط ارزیابی شده که مهاجم احتمالاً چینی‌زبان و دارای انگیزه‌های مالی بوده است.
تحلیل ابزار ARTEX و مدل‌های هوش مصنوعی
ابزار ARTEX یک ابزار تست نفوذ Agentic است که در چین توسعه یافته و به صورت متن‌باز منتشر شده است. در حالت عادی، این ابزارها به تیم‌های امنیتی کمک می‌کنند تا نقاط ضعف سیستم‌ها را شناسایی کنند، اما در این مورد، مهاجم از اتوماسیون آن برای فعالیت‌های مخرب استفاده کرده است. این ابزار در تاریخ ۲۶ جولای ۲۰۲۶ در GitHub منتشر شد و تنها چند هفته بعد در این حملات به کار گرفته شد.
بررسی‌ها نشان داد که مهاجم از ترکیبی از مدل‌های پیشرفته برای اجرای وظایف خود استفاده کرده است:
- DeepSeek v4.1-flash به عنوان بک‌اند (Backend) اصلی AI در ARTEX.
- GLM-5.3 از Zhipu AI و Grok 4.6 در نشست‌های Claude Code.
- استفاده از xcai[.]pro به عنوان یک API Proxy یا واسطه برای دسترسی به مدل DeepSeek.
پیامدها و توصیه‌های امنیتی
این حادثه تأکید می‌کند که AI لزوماً اکسپلویت‌های جدیدی را از صفر خلق نمی‌کند، بلکه چرخه شناسایی هدف (Reconnaissance)، تحلیل اسکن‌ها، اسکریپت‌نویسی و مدیریت رکوردها را به‌شدت تسریع می‌کند. این موضوع باعث می‌شود تیم‌های کوچک یا حتی یک فرد، بتوانند پیش از آنکه مدافعان متوجه شوند، سازمان‌های بیشتری را مورد بررسی و حمله قرار دهند.
برای سازمان‌های مالی، درس اصلی این است که بررسی‌های امنیتی نباید تنها به پلتفرم‌های اصلی بانکی محدود شود، بلکه باید شامل موارد زیر نیز باشد:
- پورتال‌های کارگزاری (Broker Portals) و سیستم‌های کارکنان.
- سرویس‌های پشتیبانی و APIهای متصل.
- اعمال احراز هویت چندعاملی (MFA) سخت‌گیرانه و محدود کردن درخواست‌های اتوماتیک.
- مانیتورینگ دقیق روی جستجوهای غیرعادی در رکورد مشتریان.
به‌روزرسانی (اکتبر 8, 2026 — infosecurity-magazine.com)
به‌روزرسانی: یافته‌های جدید نشان می‌دهد که این کمپین منجر به نشت گسترده داده‌ها در سازمان‌های مالی کره جنوبی شده است. بر اساس گزارش‌ها، بانک Shinhan و بانک پس‌انداز Yegaram به ترتیب با نشت داده‌های ۲۵,۰۰۰ و ۴۰,۰۰۰ کاربر مواجه شده‌اند. در این حملات، مهاجم توانست به سرویس استعلام پیشرفت وام و سیستم‌های پشتیبانی موبایل کارکنان نفوذ کند.
تحلیل‌های CrowdStrike با اطمینان متوسط، این حملات را به یک عامل تهدید (Threat Actor) چینی مرتبط کرده است. در بررسی زیرساخت‌های تحت کنترل مهاجم، نام کاربری Telegram با شناسه YY520CN و موقعیت مکانی Maoming در استان Guangdong چین شناسایی شده است که احتمالاً متعلق به اپراتور این عملیات است.
از نظر فنی، این عامل تهدید برای اتوماسیون مراحل نفوذ از ترکیب چندین مدل زبانی بزرگ (LLM) استفاده کرده است. مدل DeepSeek v4.1-flash به عنوان بک‌اند اصلی ابزار ARTEX به کار گرفته شده و برای جلسات پیچیده‌تر در Claude Code، از مدل‌های GLM-5.3 (محصول شرکت Zhipu AI) و Grok 4.6 استفاده شده است تا دقت اکسپلویت‌ها و شناسایی آسیب‌پذیری‌ها افزایش یابد.
