Полицията в Сеул идентифицира седем заподозрени за мащабна кампания срещу повече от 90 организации в Южна Корея. Според разследващите групата е откраднала около 8,2 милиона записа и е поискала откуп в 38 случая, като в повечето атаки е използвана платформата за тестване на проникване ARTEX AI.
От традиционни инструменти към атаки с помощта на ИИ
Според южнокорейската информационна агенция Yonhap, цитираща Столичната полицейска агенция на Сеул, предполагаемият ръководител на групата е 32-годишен самоук хакер с предишен професионален опит в сферата на киберсигурността. Между 2019 и 2022 г. той е работил в компания от сектора, а атаките срещу организации е започнал през септември 2025 г.
Първоначално заподозреният използвал традиционни инструменти за проникване. В края на август 2026 г. обаче започнал да използва и инструменти с изкуствен интелект (ИИ), включително рамката ARTEX AI, за да разшири обхвата на операциите.
Полицията свързва ARTEX AI и с предишни атаки срещу южнокорейски банки, при които според отделно разследване са използвани и агенти Claude. Сходството в използваните инструменти обаче само по себе си не доказва, че двете кампании са дело на една и съща група.
Засегнатите организации включват образователни институции, болници, големи компании и голф игрища. Според разследващите общият обем на откраднатата информация достига приблизително 8,2 милиона записа. На този етап не е установено публично дали цялата информация съдържа лични данни, нито каква част от нея е била разпространена извън компрометираните системи.
Искания за откуп и заплахи за публикуване на данни
В 38 от установените инциденти извършителите поискали плащания в размер на 360 милиона южнокорейски вона, или приблизително 270 000 долара, като обещали да не публикуват откраднатата информация.
Този модел съчетава неоторизирания достъп до системи с изнудване чрез заплаха за разкриване на данни. Дори когато няма доказателства за криптиране на файлове, подобна схема може да доведе до значителни финансови и репутационни щети. Рискът е особено сериозен за организации, които обработват медицинска, образователна или друга чувствителна информация.
Полицията започнала разследването през юни, след като една от жертвите подала жалба. Следователите проследили заподозрените чрез сървърни журнали, възстановени от засегнатите организации. Според публикациите властите са използвали и собствен инструмент с ИИ за анализ на събраните доказателства.
Седем заподозрени, но само един е задържан
Всичките седем заподозрени са били арестувани, но към момента само предполагаемият ръководител остава в ареста. Той е задържан на 15 октомври, официално арестуван два дни по-късно и предаден на прокуратурата на 23 октомври. Останалите шестима продължават да бъдат разследвани, без да са задържани.
Властите продължават да проверяват дали откраднатите данни са публикувани в тъмната мрежа. Докато тази проверка не приключи, не може да се приеме, че информацията е останала само при извършителите.
ИИ разширява възможностите на киберпрестъпниците
Южнокорейската полиция определя случая като първия в страната, при който е арестуван заподозрян за мащабно проникване и кражба на лична информация с използване на генеративен ИИ. Според властите подобни инструменти намаляват техническата бариера за хора, които нямат уменията или ресурсите на утвърдена престъпна организация.
Това не означава, че ИИ автоматично превръща неопитен потребител в квалифициран нападател. Случаят обаче показва как автоматизацията може да подпомогне разширяването на вече започнали операции, като позволи на един извършител да обработва повече цели и да използва по-широк набор от техники.
За защитниците основният извод е, че оценката на риска не трябва да се ограничава до предполагаемото ниво на техническа подготовка на нападателя. Организациите трябва да следят за необичайни модели на достъп, да съхраняват и анализират регистрационните записи, да ограничават привилегиите и да подготвят процедури за реакция при кражба на данни и изнудване.
Разследването в Южна Корея продължава, а окончателният мащаб на компрометирането и съдбата на откраднатата информация остават неуточнени.
