韩国银行黑客询问Claude出售被盗数据的渠道，CrowdStrike称

韩国最近银行泄密事件的嫌疑攻击者询问一个AI编码工具在哪里可以出售泄露的数据。CrowdStrike在攻击者控制的服务器的开放目录中发现了这一请求的会话日志。

过去一周，几家韩国银行披露了客户数据泄露事件。CrowdStrike在10月7日的报告中表示，该攻击活动使用了一种中国制造的AI渗透测试工具和几种语言模型。

关于韩国银行泄露事件的已知信息

一系列攻击在9月底至10月初之间接连袭击了几家韩国银行。新韩银行在9月30日确认其遭到攻击，并在一天后表示约有25,000名客户受到影响。入侵者绕过了移动服务贷款代理用于跟踪申请的身份检查。

泄露的记录包括姓名、电话号码、年收入和计算的贷款限额。还包括66个居民注册号码，即韩国的国家身份证号码。

KB国民银行在10月2日跟进，称119名客户的数据通过其员工使用的移动系统泄露。 Hana银行披露了89名受影响客户，而BNK则表示有11名外包工人的记录被盗。

李在明总统随后在内阁会议上提出了AI问题。警方随后展开了全面调查。

“在一些黑客事件中，出现了使用AI的迹象，引起了公众的相当关注和焦虑，”他说。

一个开放的服务器暴露了攻击者的AI对话

CrowdStrike在10月7日发布了其调查结果。攻击者控制的服务器上的开放目录保存了Claude Code（Anthropic的AI编码助手）的历史记录，以及配置文件。

“对威胁行为者控制的开放目录的分析揭示了Claude Code会话历史、ARTEX配置文件和Claude内存文件，直接提供了对威胁行为者操作方法和工具的洞察，”报告中写道。

根据报告，攻击者使用了ARTEX，这是一种在中国开发的开源代理渗透测试工具。

一个位于香港的服务器作为攻击者的主要基础设施。一个IP地址运行了CrowdStrike认为可能与韩国攻击有关的ARTEX实例。

CrowdStrike表示，ARTEX实例使用DeepSeek v4.1-flash作为其主要AI模型。攻击者还在其他Claude Code会话中使用了Zhipu AI的GLM-5.3和xAI的Grok 4.6。

DeepSeek还出现在8月TeamT5关于中国黑客的报告中。该台湾公司发现，与国家相关的团体在采用DeepSeek和开源AI后，其攻击量翻了一番。

攻击者询问关于Telegram市场的信息

在ARTEX操作的同时，攻击者询问Claude威胁行为者通常在哪里出售韩国泄露的数据。同一用户希望找到出售此类数据的韩国Telegram群组。

CrowdStrike没有透露任何与该活动相关的团体。它以中等信心评估该行为者可能是一个以经济利益为动机的中文使用者。这个观点基于ARTEX和中文提示。

一份简历请求可能指向黑客

在另一个会话中，用户要求Claude撰写一份展示ARTEX结果的安全研究人员简历。该提示列出了一个Telegram账号、26岁的年龄和位于广东茂名的地点。

CrowdStrike表示，这些细节可能属于攻击者，但无法明确将其与攻击者联系起来。该公司还指出，攻击者首次输入了2007年的出生日期。

同一Telegram账号出现在Claude Code会话中，探讨基于Telegram的NFT赠品市场的缺陷。

“虽然这一活动尚未归因于某个特定对手，但该威胁行为者可能是中文使用者，并且以经济利益为动机，”CrowdStrike补充道。

CrowdStrike表示，AI工具可以帮助以经济利益为动机的行为者在短时间内进行多次入侵。此前，Anthropic也表示，AI现在为低技能黑客执行高级攻击任务。

CrowdStrike预计攻击者将继续尝试使用AI工具。它是签署了一封8月信件的100多家公司之一，警告称AI驱动的网络攻击将激增。