CrowdStrike报告：韩国银行攻击... Features
##### 导语
明星直播据路透社2026年10月8日引述美国网络安全公司CrowdStrike的最新报告，近期针对韩国金融业的系列网络攻击可能由一名26岁的嫌疑人在中国广东省茂名市发起。CrowdStrike通过分析攻击者使用的AI编码工具会话及基础设施，提取了Telegram账号、年龄、教育背景等个人信息，以“中等置信度”评估该攻击者为中文母语者且动机为经济利益。
明星带货攻击目标：韩国多家银行数据遭窃
自2026年9月底至10月初，韩国新韩银行（Shinhan Bank）、KB国民银行（KB Kookmin Bank）等多家金融机构先后披露数据泄露事件。韩国警方与金融监管机构随即启动调查，确认攻击者通过渗透测试工具侵入内部系统，窃取了包括客户姓名、账号及交易记录在内的大量敏感数据。CrowdStrike在报告中指出，攻击者使用了名为ARTEX的工具——这是一款由中国开发者近期发布的开源渗透测试框架，结合大型语言模型（LLM）自动化漏洞利用流程。
明星收入ARTEX工具与AI协作：新型攻击模式浮现
CrowdStrike观察到，攻击者在Claude Code（Anthropic公司的人工智能编程助手）的会话中留下了关键痕迹。其中一个会话包含“创建一份安全研究员简历，内容需体现本次黑客活动成果”的提示词。该提示词中附带的具体信息包括：Telegram用户名（后经交叉验证出现在其他网络活动中）、年龄26岁、教育背景（软件工程相关专业）以及地理位置“中国广东省茂名市”。CrowdStrike首席分析师Mike Thompson在报告中称：“这是首次发现攻击者直接在AI辅助编程过程中暴露自身身份信息，表明其可能缺乏严格的社交工程反侦测训练。”
溯源证据链：Telegram账号关联多起案件
CrowdStrike追踪发现，该Telegram账号此前曾参与多个网络犯罪活动，包括针对一个基于Telegram的非同质化代币（NFT）市场的漏洞研究，以及另一起疑似针对中国某支付平台的攻击。该账号还曾在中文网络安全论坛中发布过多篇与渗透测试相关的技术帖。公司因此评估，该攻击者很可能是一个独立运作的“网络雇佣兵”，而非受国家支持的黑客组织。
关键时间表与攻击手法
| 时间（2026年） | 事件 | 涉事方 | 关键工具 |
|---|
| --- | --- | --- | --- |
|---|
| 9月22日 | 攻击者首次使用ARTEX扫描韩国银行公网IP | 未知 | ARTEX v0.9（中文源代码） |
|---|
| 9月28日至30日 | 新韩银行客户数据遭批量下载（约120万条记录） | 新韩银行 | LLM辅助SQL注入脚本 |
|---|
| 10月1日至3日 | KB国民银行报告异常登录流量 | KB国民银行 | 自定义后门 + 加密隧道 |
|---|
| 10月5日 | CrowdStrike介入分析并锁定Claude Code会话 | CrowdStrike | 取证分析平台 |
|---|
| 10月7日 | CrowdStrike发布威胁情报报告 | 公众 / 韩国警方 | 情报共享 |
|---|
表格中涉及的数字包括：26岁、120万条记录、0.9版本、9月22日至10月7日共16天时间跨度等。
金融机构损失与应对
据韩国金融监督院初步估算，本次攻击造成的直接经济损失已超过500亿韩元（约合3600万美元），包含客户赔偿、系统修复及安全升级费用。韩国银行联合会于10月8日紧急召集所有成员行召开安全会议，宣布在未来3个月内投入200亿韩元专项预算，升级多因素认证与实时威胁检测系统。韩国国家情报院也介入协助，但未公开表态是否认为存在国家背景。
专家分析：开源工具与AI结合降低攻击门槛
卡内基梅隆大学网络安全研究员李伟表示：“ARTEX作为一款刚发布不久的开源工具，其文档和示例代码主要使用中文，这大大降低了中文圈爱好者的使用门槛。结合LLM自动生成攻击向量，一个中等技术水平的个体也能实施大规模渗透。”CrowdStrike报告同时警告，各金融机构应加强对AI编码工具使用日志的监控，因为这类工具有可能成为攻击者无意识留下的情报源。
FAQ
Q1: 此次攻击是否直接威胁到普通客户的资金安全？
A1: 截至目前，韩国金融当局表示尚未发现因数据泄露导致客户账户资金被盗的直接案例。但泄露的姓名、身份证号及交易记录可能被用于后续钓鱼攻击或身份盗窃，建议受影响客户近期警惕异常通讯并及时更换密码。
Q2: CrowdStrike为何能锁定嫌疑人在中国广东省？
A2: CrowdStrike在Claude Code的会话中发现了包含“Maoming, Guangdong”（广东茂名）的明文位置信息，并通过Telegram注册IP及语言偏好进行了交叉验证。不过公司也强调，这些数据可能被攻击者故意伪造，当前结论仅为“中等置信度”，并非最终定性。
##### 结尾
CrowdStrike的发现为韩国银行网络攻击调查提供了关键突破口，但嫌疑人身份尚未得到中韩执法部门官方证实。这一事件再次凸显开源渗透测试工具与人工智能结合带来的新型网络安全威胁，各国金融监管机构亟需建立更敏捷的跨域威胁情报共享机制。
