韓国の銀行狙う攻撃、中国在住26歳か

攻撃は9月下旬から10月初旬にかけて展開され、韓国の複数金融機関で一連の情報漏洩が発生した。ロイターによると、被害者の公表や地元報道を通じ、少なくとも9行が標的として確認された。CrowdStrikeはこのキャンペーンを調査し、攻撃に使われたIPアドレスに紐づくサーバー上で誰でも閲覧可能なディレクトリを発見した。中にはClaude Codeの利用記録とARTEXの設定ファイルがあり、攻撃者が9月下旬から10月初旬にかけて、既に被害者として報じられた機関と重複する標的を追っていたことを示唆している。

ツール群は意図的に組み上げられた構成を示す。ARTEXは中国のセキュリティエンジニアが2026年にGitHubで公開したもので、ChatGPTやClaudeなどの外部LLMに接続して脆弱性を探し、ユーザーが使用モデルを選べる。今回のキャンペーンで攻撃者はDeepSeek v4.1-flashを主力とし、智譜AIのGLM-5.3とxAIのGrok 4.6も使用した。CrowdStrikeによると、攻撃者は作業を2台のサーバーに分散し、香港拠点のサーバーを攻撃インフラの中核に、もう1台をARTEXの実行に使い、そこには連携LLMの進め方を記した中国語文書もあった。通信はさらに9つのプロキシIPアドレスを経由していた。

CrowdStrikeは攻撃者を特定しておらず、中国発のARTEXと中国語プロンプトの使用から、中国語話者で金銭目的の可能性が高いと中程度の確信度で推定している。CrowdStrikeで攻撃者の追跡・分析を統括するAdam Myers氏は、この事例を人間の攻撃者がAIエージェントを使って広範囲に攻撃する例と位置づけ、AIによって1人が非常に短時間で多数の被害者を狙えるようになったと述べた。ARTEXの公開ページは利用を個人の学習とコード研究に限定し、稼働中のシステムやウェブサイトへのペネトレーションテストを行わないよう求めている。