据推测，利用人工智能（AI）智能体实施的黑客攻击，经由多家金融公司的员工业务支持系统，导致客户个人信息泄露。截至10月4日，已确认发生泄露的有7家，另有报道称至少9至10家发现了攻击尝试。据报道，韩亚银行（신한은행）有25727条客户个人信息泄露，艺家岚储蓄银行（예가람저축은행）约有4万人的姓名、出生日期和联系方式等信息泄露。此次事件的核心在于，金融公司内部业务网络的漏洞可能直接影响客户的个人信息和金融安全。

背景与脉络

据称，此次攻击并非锁定一家公司的集中式攻击，而是先尝试攻击多家金融公司，再寻找存在漏洞的目标入侵。社论称，人工智能智能体对多家金融公司发动随机攻击，并趁虚而入。不过，后续报道指出，由于攻击时间和手法相似，有观点认为这些攻击可能出自同一势力，但尚未确认实际攻击是否使用了AI。

问题的入口不是面向客户的互联网银行或手机银行，而是员工或业务相关人员使用的系统。据报道，韩亚银行的贷款咨询员贷款受理进度查询服务、KB国民银行（KB국민은행）的员工专用移动业务支持系统、韩亚银行（하나은행）的员工销售支持系统均被指为攻击途径。这表明，相较于面向客户的系统，认证程序较宽松或安全管理相对不足的内部服务可能成为攻击的薄弱环节。

据后续报道，已确认国民银行有119名客户、韩亚银行有89名客户的信息泄露；釜山银行（부산은행）在外部网络服务器遭受攻击的过程中，有11名外包开发人员的信息暴露。据称，友利银行（우리은행）和NH农协银行（NH농협은행）也遭到类似攻击，但未导致实际泄露。第二金融圈方面，已确认现代资本（현대캐피탈）有146名贷款中介人员的信息泄露；报道称，新村金库中央会（새마을금고중앙회）和农协相互金融（농협 상호금융）曾遭遇攻击尝试，但已将其阻止或成功防御。

社论称，此次攻击很可能使用了“ARTEX AI自主渗透测试平台（아텍스(ARTEX) AI）”。该平台以在中文圈以开源形式发布的大型语言模型（LLM，即通过学习海量文本资料来理解和生成文字的AI）为基础。不过，这并非已确认的使用事实。仅仅提到某个工具的名称或来源，并不意味着实际攻击手法或幕后势力已经查明。

这则消息意味着什么

对客户而言，重要的不只是发生了黑客攻击，还包括哪些信息泄露，以及这些信息可能如何被滥用。据报道，泄露信息包括姓名、联系方式、年收入、工作单位名称、住址、电子邮箱等，也提到了部分经过加密的居民身份证号码。金融业方面解释称，遭攻击的系统与金融交易系统属于不同渠道，因此账号号码等交易信息没有泄露。即便如此，贷款咨询或收入相关信息如果与其他个人信息结合，仍有可能被用于定制化网络钓鱼或电话诈骗，让人误以为对方了解自己实际咨询过的内容。

例如，曾咨询过贷款的人，如果收到短信或电话，对方仿佛知道其实际咨询内容、工作单位或收入，就可能误以为对方是金融公司员工。这并非已确认发生的损害，而是报道提出的二次损害可能性。还应注意，金融公司表示会逐一通知受影响客户，告知信息泄露情况和预防方法，并承诺如因此次泄露造成损失，将予以全额赔偿。

此次事件表明，不能仅仅因为系统属于“内部系统”，就认为风险较小。社论呼吁，员工系统也应采用不亚于客户系统的认证措施，并实时监测通过不断更换IP（用于识别连接互联网设备的地址）反复访问等异常迹象。金融委员会（금융위원회）主席和金融监督院（금융감독원）院长召集金融业协会负责人及发生事故的金融公司首席执行官，召开了紧急检查会议。相关措施是否有效，可能取决于安全检查和监测范围是否也涵盖内部业务系统。

不同报道的说法

社论称，截至10月4日，已确认发生个人信息泄露的有7家，至少有9至10家曾遭到攻击。当天的详细报道则具体列举了银行、储蓄银行、资本公司和相互金融机构中已确认的信息泄露及成功防御案例。由于报道时间和统计范围可能不同，不应仅凭这些数字就认定受影响机构的最终数量或损失规模已经确定。

已确认的事实与尚不清楚的情况

已确认的事实

  • 据报道，截至10月4日，已确认发生信息泄露的金融公司有7家，另有消息称至少9至10家发现了攻击尝试。
  • 据报道，韩亚银行有25727条客户个人信息泄露，艺家岚储蓄银行约有4万人的姓名、出生日期和联系方式等信息泄露。
  • 韩亚银行贷款咨询员查询服务、KB国民银行员工专用移动业务支持系统、韩亚银行员工销售支持系统被指为攻击途径。
  • 金融业方面解释称，遭攻击的系统与金融交易系统属于不同渠道，账号号码等交易信息没有泄露。
  • 10月4日，金融委员会主席和金融监督院院长与金融业相关人士及发生事故的金融公司首席执行官召开了紧急检查会议。

尚不清楚的情况

  • 尚未查明黑客攻击的幕后势力。
  • 尚未确认实际攻击是否使用了ARTEX AI。
  • 最终受到影响的金融公司数量以及泄露个人信息的总规模仍不清楚。
  • 仅凭现有报道，无法确认泄露信息是否已被实际用于网络钓鱼或电话诈骗。

读者应当确认的事项

  • 如果收到金融公司的个人信息泄露通知，建议确认泄露信息的种类和通知中说明的预防方法，并核实此次事件是否涉及本人。
  • 即使来电或短信看似掌握贷款或金融交易详情，也不要断定对方确实来自金融公司；在提供个人信息或认证信息之前，应通过该金融公司的官方渠道核实情况。
  • 金融公司已表示，如因信息泄露造成损失，将予以全额赔偿，因此有必要确认通知中列明的损失申报流程和赔偿条件。

参考资料