בשורת הכותרת של דף אינטרנט על שרת שהיה מעורב בתקיפה הופיע משפט בסינית, ובו שמו של כלי קוד פתוח להרצת תקיפות אוטומטיות. הפרט הקטן הזה, שדווח על ידי סוכנות הידיעות הקוריאנית Yonhap, הוא הסיבה שגל הדליפות בבנקים בקוריאה הדרומית מעניין גם את מי שלא מחזיק שם חשבון. הרגולטור הפיננסי הקוריאני כינס בינתיים ישיבת חירום.

מה קרה

נציבות השירותים הפיננסיים של קוריאה הדרומית אישרה דליפת מידע בבנק שינהאן, ומסרה שאירועי אבטחה נוספים פגעו גם בבנקים אחרים, ביניהם קוקמין. בנק הנא נפגע אף הוא בהיקף מוגבל, אחרי שמערכת התמיכה במכירות שלו נפרצה. שני הבנקים הגדולים שבחבורה מנהלים כל אחד נכסים בהיקף של יותר מ-400 מיליארד דולר. המספרים שמסתובבים בתקשורת הקוריאנית, כ-25 אלף לקוחות שפרטיהם דלפו משינהאן וכ-119 אלף פרטי כרטיס אשראי מקוקמין, מגיעים מדיווחים מקומיים ולא מהבנקים עצמם. לפי אותם דיווחים הדליפה בשינהאן יצאה דרך שירות צדדי שמשרת מתווכי הלוואות, ולא דרך מערכות הליבה של הבנק.

הרגולטור הורה לכל הגופים הפיננסיים במדינה לסרוק כל מערכת שנגישה מהאינטרנט, גם כזאת שלקוחות לא רואים, לצמצם חשיפת מידע מיותרת, לבדוק היכן חסרים אימות ובקרת גישה, ולהגיש את תוצאות הבדיקה הפנימית בהקדם. לפי דיווחים מקומיים, נשיא קוריאה הדרומית הורה על חקירה יסודית של הדליפות בגופים פיננסיים וציבוריים.

כאן נכנס לתמונה הפרט שמשך את תשומת הלב של החוקרים. הכלי ששמו הופיע על השרת, ARTEX AI, הוא מערכת קוד פתוח לבדיקות חדירה שמפעילה סוכני תוכנה שעושים לבד את מה שבודק אנושי עושה ידנית: אוספים מידע על היעד, מחפשים חולשות, בונים מסלול תקיפה ומאמתים שהוא עובד. מה שלא ידוע חשוב לא פחות. לא הבנק ולא הרשויות אישרו שהכלי שימש בתקיפה, והמחרוזת בסינית אינה קושרת את האירוע לשום תוקף מזוהה. מון ג'ונג-היון, שעומד בראש מרכז האבטחה של חברת Genian, כתב בלינקדאין שכמה אנליסטים מעריכים שבתקיפות שולבו כלי אוטומציה מבוססי AI.

למה זה חשוב לכם

החלק שחוזר גם אצלנו הוא לא הבנק אלא מה שמסביבו. המידע שדלף בשינהאן, לפי הדיווחים, כלל שמות, מספרי טלפון ונתוני הכנסה שנתית, והוא ישב בשירות של מתווכי הלוואות. ישראלים מוסרים פרטים דומים בדיוק לאותו סוג של מתווכים: סוכני ביטוח, חברות השוואת הלוואות, אתרי אשראי. אדם שמחזיק את שמכם, הטלפון וההכנסה שלכם נשמע בטלפון כמו מישהו שבאמת מכיר את התיק שלכם.

מה עושים?

הפעילו באפליקציית הבנק וחברת האשראי התראה על כל חיוב ועל כל פעולה, ולא רק מעל סכום מסוים.

בדקו באפליקציית הבנק אילו שירותים ואפליקציות חיצוניים קיבלו הרשאה לראות את החשבון שלכם, ובטלו כל הרשאה שאתם לא מזהים.

שיחה שמציעה מיחזור הלוואה או שדרוג מסגרת אשראי, ומצטטת נתונים נכונים עליכם, היא סיבה לנתק ולחייג לבנק במספר הרשמי. הידיעה של הפרטים אינה הוכחה לזהות.

ככל שהצד התוקף מצליח להריץ יותר מהעבודה אוטומטית, כך פוחת הסינון המוקדם של מי בכלל שווה את המאמץ. זאת המשמעות המעשית של הסיפור הקוריאני, הרבה לפני שאלת מי עשה את זה.