Si parla di:

Toggle

Per anni il dibattito sull’uso offensivo dell’intelligenza artificiale nel #cybercrime è rimasto nel campo della prospettiva: scenari plausibili, proof-of-concept accademici, allarmi di settore. Il 7 ottobre 2026 la Corea del Sud potrebbe aver fornito il primo caso concreto e documentato di un agente AI utilizzato per violare il settore finanziario. Sette istituti bancari e finanziari sudcoreani, tra cui Shinhan Bank, KB Kookmin e Hana Bank, hanno subito intrusioni che gli investigatori della polizia e della Financial #Security Institute collegano a ARTEX, un tool open source di penetration test basato su agenti AI sviluppato in #Cina.

Sette istituti, decine di migliaia di clienti espostiIl quadro che emerge dalla stampa sudcoreana, #Korea JoongAng Daily, Korea Herald, SBS News e Korea Times, è quello di una campagna diffusa ma disomogenea, con tempi di rilevamento molto diversi da istituto a istituto:

Shinhan Bank: 25.727 clienti coinvolti, rilevata dopo circa 15 ore e 26 minuti dalla compromissione.

KB Kookmin Bank: 119 clienti, rilevamento dopo 67 ore e 41 minuti.

Hana Bank: 89 clienti, rilevamento dopo 41 ore e 44 minuti.

BNK Busan Bank: dati di 11 sviluppatori esterni in outsourcing.

Yegaram Savings Bank: circa 40.000 clienti coinvolti.

Welcome Savings Bank: circa 2.200 schede di clientela aziendale.

#Hyundai Capital: dati personali di agenti di prestito ipotecario.

Le stime complessive diffuse dai media locali oscillano tra 65.000 e 68.000 persone coinvolte, una forbice spiegabile con criteri di conteggio e finestre temporali diverse tra le fonti. I dati sottratti includono nominativi, recapiti, numeri di identificazione residenziale coreani, ID cliente, dettagli di richieste di prestito, limiti di credito calcolati e codici di decisione finale, tassi di interesse di mercato applicati, reddito annuo dichiarato, limiti di prestito personale e, per i #conti aziendali, ragione sociale e referenti.

La prova fumante: una stringa in cinese nei log dei server compromessiA collegare le intrusioni ad ARTEX non è stata una firma di #malware, ma un artefatto lasciato, apparentemente per distrazione operativa, sui server web compromessi: la stringa ARTEX-自主渗透試控制台, traducibile come “console di controllo per penetration test autonomo ARTEX”. Il Financial Security Institute ha condotto l’analisi forense di IP e log direttamente su Shinhan Bank, confermando la presenza di questo artefatto e tracciando l’infrastruttura usata per l’attacco: oltre venti indirizzi IP distribuiti su circa una dozzina di paesi, tra cui Stati Uniti, Giappone e Germania, utilizzati come catena di proxy prima di colpire i target coreani, uno schema di offuscamento ormai standard nelle intrusioni di matrice statale o paraorganizzata, qui applicato con l’aiuto di un orchestratore AI.

ARTEX, secondo la ricostruzione di SBS News, è un agente open source che orchestra più modelli linguistici di grandi dimensioni, tra cui Claude, GPT e DeepSeek, in un’unica pipeline autonoma capace di condurre attività di vulnerability assessment e, potenzialmente, di sfruttamento. Lo strumento sarebbe opera di uno sviluppatore cinese identificato nei report come Li Fuhua. Va sottolineato che l’origine open source dello strumento non implica automaticamente l’identità degli operatori dietro le intrusioni: a oggi nessuna autorità sudcoreana ha attribuito pubblicamente l’attacco a un gruppo o a uno stato specifico. Ciò che è stato accertato è l’impronta dello strumento, non la mano che lo ha impugnato.

Dall’exploit manuale all’orchestrazione autonomaIl presidente della Financial Services Commission, Lee Eog-weon, ha dichiarato che “non si può escludere che l’intelligenza artificiale sia stata utilizzata negli attacchi”, una formulazione volutamente cauta ma significativa da parte del massimo regolatore finanziario del paese. Il presidente Lee Jae-myung ha disposto un irrigidimento immediato delle misure di sicurezza nel settore, sottolineando che “la velocità è essenziale”, un’affermazione che suona quasi ironica se si considera che proprio la velocità di esecuzione è il vantaggio competitivo che un agente AI offre rispetto a un operatore umano nella fase di ricognizione e sfruttamento delle vulnerabilità.

Le cause profonde individuate dagli inquirenti non sono esotiche: autenticazione debole e conservazione eccessiva di dati nei sistemi di richiesta prestiti e di supporto ai dipendenti, gli stessi punti deboli che qualunque penetration test tradizionale avrebbe potuto individuare. La differenza, se la pista ARTEX verrà confermata, sta nella scala e nella velocità con cui un agente AI è in grado di mappare automaticamente queste debolezze su decine di sistemi esposti, candidandosi a essere ricordato come il primo caso pubblicamente documentato di hacking “agentico” contro il settore finanziario.

La risposta: controlli d’emergenza su 500 istitutiLa Financial Supervisory Service ha diramato un alert agli indirizzi IP malevoli individuati a circa 500 istituti finanziari sudcoreani, imponendo controlli di sicurezza d’emergenza con scadenze molto strette, entro il giovedì successivo alla scoperta. L’indagine penale è condotta dalla Cyber Terror Investigation Unit della Polizia Nazionale coreana in collaborazione con il Financial Security Institute, mentre la FSS coordina la risposta regolatoria settoriale. Al momento nessuna delle due agenzie ha pubblicato un report tecnico completo con indicatori di compromissione dettagliati, comprensibile, trattandosi di un’indagine ancora in corso, ma la granularità con cui la stampa coreana ha ricostruito banca per banca tempi di rilevamento e volumi di dati esposti è insolitamente alta per un incidente di appena pochi giorni.

Cosa fare, in attesa di confermePer i team di sicurezza, in particolare nel settore finanziario, l’episodio sudcoreano è un campanello d’allarme operativo più che tecnico in senso stretto:

Rivedere l’autenticazione e il controllo degli accessi sui sistemi di back-office esposti a terze parti (richiesta prestiti, supporto dipendenti, portali per sviluppatori esterni), spesso meno presidiati dei canali rivolti al cliente.

Applicare principi di minimizzazione dei dati: la conservazione prolungata di informazioni di credito, reddito e identificazione personale amplifica l’impatto di ogni singola violazione.

Monitorare pattern di scansione e sfruttamento ad alta velocità e alta copertura, tipici di un’orchestrazione automatizzata, distinti dai pattern più lenti e mirati di un operatore umano.

Considerare l’esistenza di strumenti open source di penetration test “agentici” come un dato di fatto del panorama delle minacce 2026, non come un’ipotesi futuribile: se uno sviluppatore indipendente ha potuto costruire ARTEX, repliche o varianti sono solo questione di tempo.

Tracciare catene di proxy multi-paese come parte ordinaria della due diligence su traffico anomalo in ingresso, dato il pattern di offuscamento osservato (oltre 20 IP in una dozzina di paesi).

Resta una domanda aperta, e probabilmente lo resterà per settimane: quanta della violazione è davvero opera autonoma di un agente AI, e quanta invece riflette un operatore umano che ha semplicemente usato ARTEX come acceleratore di un attacco comunque pianificato e diretto da persone? La distinzione non è accademica, cambia radicalmente le implicazioni per la difesa, ma al momento le fonti disponibili non permettono di scioglierla con certezza. Quello che è già chiaro è che il settore finanziario sudcoreano ha dovuto affrontare, in presa diretta, uno scenario di cui fino a poche settimane fa si discuteva solo in convegni e report previsionali.

Indicatori e riferimenti# Artefatto identificativo rinvenuto sui server compromessi
ARTEX-自主渗透試控制台 ("console di controllo per penetration test autonomo ARTEX")

Infrastruttura

• oltre 20 indirizzi IP come catena di proxy
• distribuiti su circa 12 paesi (inclusi USA, Giappone, Germania)

Istituti coinvolti (clienti/record esposti)

Shinhan Bank - 25.727 (rilevamento: 15h26m)
KB Kookmin Bank - 119 (rilevamento: 67h41m)
Hana Bank - 89 (rilevamento: 41h44m)
BNK Busan Bank - 11 sviluppatori esterni
Yegaram Savings Bank - ~40.000
Welcome Savings Bank - ~2.200 record aziendali
Hyundai Capital - dati agenti mutuo

Enti coinvolti nelle indagini

• Cyber Terror Investigation Unit, Korean National Police Agency
• Financial Security Institute
• Financial Supervisory Service (FSS)Fonti: Korea JoongAng Daily; SBS News (edizione inglese); Korea Herald; Korea Times; Seoul Economic Daily; Herald Business.

Si parla di:

Toggle

Per due anni una banda finanziaria ha bussato metodicamente alle porte del sistema bancario brasiliano, passando dal #vishing spicciolo all’accesso diretto ai circuiti di pagamento istantaneo Pix e al sistema di regolamento interbancario STR. #Google Threat Intelligence Group e #Mandiant hanno battezzato il gruppo BREEZE COMET e ne hanno ricostruito l’intera catena d’attacco in un #report pubblicato il 1° settembre 2026: un caso di #scuola su come il #cybercrime finanziario latinoamericano stia raggiungendo la sofisticazione tecnica degli attori state-sponsored, complice anche l’uso di script generati con l’intelligenza artificiale.

Chi è BREEZE COMETTracciato in precedenza come UNC5669, il gruppo è noto anche con i nomi Plump Spider e SHADOW-AETHER-064 a seconda del vendor. Attivo almeno dal 2023, BREEZE COMET è motivato esclusivamente dal profitto e ha colpito banche, società fintech, processori di pagamento, catene retail, borse valori e fornitori di software bancario in Brasile. Gli analisti di Mandiant sottolineano che l’infrastruttura di staging del gruppo è già stata riutilizzata anche contro siti #governativi in Nigeria, Paraguay, Ghana e #Venezuela, segno di un’espansione operativa che va oltre il mercato brasiliano.

Il bersaglio finale non sono le vittime dirette, ma la Rede do Sistema Financeiro Nacional (RSFN), la rete che collega le istituzioni finanziarie brasiliane al circuito Pix e al Sistema de Transferência de Reservas (STR), oltre al meccanismo di fatturazione Boleto. Per raggiungerlo servono credenziali mTLS specifiche e un accesso profondo alle applicazioni di core banking: non un obiettivo alla portata di un ransomware opportunistico, ma di un’operazione pianificata su mesi.

Dall’ingegneria sociale al server IIS fintoLa catena d’attacco documentata da Google segue una progressione precisa. Nella fase iniziale (2024) BREEZE COMET puntava su password spraying contro portali aziendali e vishing: operatori che si spacciavano per il supporto IT telefonavano ai dipendenti, spesso via WhatsApp, convincendoli a installare strumenti RMM legittimi come AnyDesk. In alcuni casi il gruppo ha anche tentato di reclutare direttamente dipendenti bancari come insider.

A metà 2025 le tecniche si sono fatte più mature: compromissione di siti governativi municipali brasiliani minori, usati come infrastruttura di hosting e staging per i payload; inserimento fisico di dispositivi hardware non autorizzati nelle reti di negozi retail per ottenere un punto d’appoggio nella LAN; sfruttamento di installazioni JBoss AS vulnerabili per distribuire web shell. Una volta dentro, gli operatori usano Impacket, ADRecon e ADVipscan eseguiti in memoria via PowerShell per la ricognizione di Active Directory, cercando in modo specifico stringhe come boleto, cnab, remessa e webhook.*pix per individuare rapidamente i sistemi di pagamento.

Per il movimento laterale il gruppo dirotta account di servizio via RDP e sfrutta SMB, ma il vero salto di qualità è nell’arsenale di backdoor proprietarie sviluppate per garantire ridondanza di accesso:

COBALTSPIN (Rust) — tunneler leggero che crea un proxy SOCKS5 inverso su WebSocket per bypassare la segmentazione di rete e raggiungere le API finanziarie.

LIGHTPAINT (Java) — installa una VPN SoftEther legittima con persistenza, manipolando le regole del firewall di Windows Defender.

MILDFROST (Java) — backdoor passiva che comunica via DNS tunneling, usata come canale di riserva.

KICKPLATE (Nim) — si maschera da Windows Update Health Tools per garantire persistenza e gestire tunnel SOCKS5.

BOATBEAM (Go) — finto server HTTPS su IIS in ascolto sulla porta 443, che si attiva solo in presenza di uno specifico cookie di sessione.

XWORM — infostealer commerciale reperibile su forum underground, usato come componente aggiuntiva.

Per l’esfiltrazione di segreti e credenziali, gli operatori si affidano perfino a servizi di appunti pubblici come dontpad.com, mentre negli ambienti cloud compromessi sono stati osservati deployment di pod Kubernetes usati come meccanismo di persistenza aggiuntivo.

Script scritti dall’IA: la firma involontariaUno degli elementi più interessanti del report è la prova, secondo Google, che BREEZE COMET utilizzi modelli linguistici di grandi dimensioni per generare gli script di ricognizione, automatizzare la validazione delle credenziali rubate e produrre logiche di pivoting specifiche per ogni vittima. Gli analisti hanno riconosciuto pattern tipici del codice generato da IA: commenti esplicativi eccessivi, strutture “srotolate” senza funzioni o astrazioni, header di esecuzione standardizzati e un’assenza quasi totale delle idiosincrasie tipiche di uno sviluppatore umano. Un dettaglio che, paradossalmente, ha aiutato gli analisti a fare attribuzione, ma che testimonia anche quanto l’IA generativa stia abbassando la barriera d’ingresso per gruppi criminali di fascia media.

Il risultato operativo è impressionante: secondo Google, in alcuni episodi il tempo tra la compromissione iniziale e l’esecuzione delle transazioni fraudolente sulle applicazioni bancarie core è di sole 24-48 ore. In un caso documentato, il gruppo ha eseguito centinaia di transazioni fraudolente sottraendo asset per decine di migliaia di dollari, ripulendo poi log degli eventi e directory create per cancellare le tracce.

Due righe per i difensoriIl caso BREEZE COMET conferma una tendenza che gli analisti di threat intelligence osservano da tempo in America Latina: gruppi nati come fraudster retail opportunistici stanno evolvendo verso la compromissione diretta dei sistemi di core banking, con un livello di ingegneria del malware paragonabile a quello di attori APT. Per le istituzioni finanziarie brasiliane — e, visto il riuso dell’infrastruttura in altri Paesi, potenzialmente per qualsiasi banca dell’America Latina e dell’Africa — le raccomandazioni di Google includono: applicazione rigorosa di whitelisting delle applicazioni (WDAC, Gatekeeper, fapolicyd), autenticazione MFA phishing-resistant su tutti i portali esterni, PowerShell in Constrained Language Mode con Script Block Logging attivo, segmentazione di rete che blocchi SMB e RDP tra segmenti non necessari, controllo NAC 802.1X sulle porte Ethernet fisiche nei negozi retail, e gestione centralizzata dei segreti per eliminare credenziali in chiaro nel codice.

La formazione dei dipendenti resta la prima linea di difesa: il vishing che impersona il supporto IT rimane, ancora oggi, il vettore d’accesso iniziale più efficace per questo genere di operazioni.

Indicatori di compromissione# Hash malware custom (SHA-256)
3b22605244dbace8f0c07c2c599f88c4b831bb07e9998b869a5da2759d27ceec COBALTSPIN
2214907e696bad85bde1d90c943ef66e413d7a5c6d7596ced25b74441200439a REALBREEZE
c0db6ddd6222d02ad7490399d33c61ded0076f0037409dc8498924458646d78a MILDFROST
6d4012e0dd3b56a3e52857734fa0d582cdf3c56f0e5decc8005c882d1d1c6ceb BOATBEAM
f139b4ca15feffb7a6633ec1a431c5c604b397576b56b5c863ae8fe4fa14db4f KICKPLATE
51fdd83b3737add7f3832bd0ad0b56863c0a8f7cf9bcc16fd787d1ae4b403ce6 XWORM
d2aa40cc53b40c6e76ac0677c4a54387b3f27ee94c85d9b2c3a3d66aeef92a66 XWORM
447e3a131e62bd33b1297739a7b959a92358a97f58554469044636a3c4f244e8 XWORM

Domini governativi brasiliani compromessi (staging/C2)

hxxps://procon[.]go[.]gov[.]br/ComprovantePDF[.]exe
hxxps://cmgovernadorluizrocha[.]ma[.]gov[.]br/Comprovantepdf[.]exe
hxxp://gcm[.]setelagoas[.]mg[.]gov[.]br/files/ti[.]zip
hxxps://minacu[.]go[.]gov[.]br/ComprovantePDF[.]exe
hxxps://conseg[.]ssp[.]go[.]gov[.]br/COAF-POLICIAFEDERAL[.]exe
hxxps://suporte[.]camaratunapolis[.]sc[.]gov[.]br/ti/attvpn[.]zip
hxxps://tisup[.]camaratunapolis[.]sc[.]gov[.]br/SoftEther[.]exe
hxxp://suporte[.]ourinhos[.]sp[.]gov[.]br/files/s[.]zip
hxxps://servicos[.]salto[.]sp[.]gov[.]br/j[.]jar

Infrastruttura riutilizzata fuori dal Brasile

hxxps://www.mrtb[.]gov[.]ng/apps/attvpn[.]vip (Nigeria)
hxxp://credeb[.]gov[.]gn/r[.]zip (Guinea)
hxxps://sit[.]baer[.]gob[.]ve/r[.]exe (Venezuela)
hxxps://jmcov[.]gov[.]py/cxv[.]exe (Paraguay)

Canale di esfiltrazione

dontpad[.]com

YARA - REALBREEZE (utility LDAP brute-force)

rule M_Utility_REALBREEZE_2 {
strings:
$s1 = "IP/REDE" wide
$s2 = "SENHA" wide
$s5 = "get_SamAccountName"
$s6 = "get_txtHostname"
condition:
uint16(0) == 0x5A4D and all of them
}Fonte primaria: Google Threat Intelligence Group e Mandiant, “Financially Motivated Threat Actor BREEZE COMET Targets Brazil”, 1° settembre 2026.

🏦 Addio Unicredit, benvenuta Banca Etica

https://www.ils.org/2026/5/passaggio-da-unicredit-a-banca-etica/

(Condivisione @linux@diggita.com)

#banche #Unicredit #BancaEtica