Die Datenschutzverletzungen bei Bithumb, Daishin Securities und Mirae Asset Global Investments haben eine vorläufige Untersuchung durch die südkoreanische Nationalpolizei ausgelöst.
Die Ermittler der Polizei untersuchen das Ausmaß des Datendiebstahls bei der jüngsten Sicherheitsverletzung und prüfen, ob sie mit einer früheren Welle KI-gestützter Angriffe in Verbindung steht, von der 16 Finanzunternehmen im Land betroffen waren.
Welche südkoreanischen Unternehmen wurden gehackt?
Daishin Securities, Bithumb und Mirae Asset Global Investments sind die jüngsten Unternehmen, die von einer Welle von Sicherheitsverletzungen betroffen sind, die sich auf Südkorea konzentriert. Dasselbe Team der Nationalbehörde, das bereits an den zuvor gemeldeten Hackerangriffen auf Banken arbeitet, hat bis Mittwochmorgen die Untersuchung der jüngsten Vorfälle übernommen.
Daishin Securities war lokalen Berichten zufolge am stärksten betroffen: Die personenbezogenen Daten und Kreditdaten von 38.490 Kunden wurden offengelegt.
Bisher hat Bithumb bestätigt, dass Angreifer auf Daten von Mitarbeitern zugegriffen haben. Die Börse prüft noch, ob auch Kundendaten gestohlen wurden.
Informationen aus den internen Geschäftssystemen von Mirae Asset Global Investments wurden offengelegt. Das Unternehmen erklärte jedoch, es gebe keine Hinweise darauf, dass personenbezogene Kreditdaten entwendet wurden.
Die Zahlen aus den drei neuen Vorfällen werden sich nach vollständiger Bestätigung auf rund 100.000 offengelegte Datensätze bei 16 Finanzunternehmen seit dem 14. Oktober summieren.
Hängen die Hackerangriffe in Südkorea zusammen?
Zwar wurde bislang kein Zusammenhang bestätigt, doch Ermittler der südkoreanischen Nationalpolizei vergleichen die bei den jüngsten Sicherheitsverletzungen angewandten Methoden, um Übereinstimmungen festzustellen und zu klären, ob es sich um voneinander unabhängige Angriffe handelt.
Die lokale Zeitung Seoul Economic Daily zitierte einen Polizeibeamten mit den Worten: „Wir schließen nicht aus, dass dieser Angriff von derselben Person verübt wurde, die auch hinter dem Hackerangriff auf die Bank steckt.“
Bestätigen die Ermittler einen Zusammenhang, würde das bedeuten, dass dieselben Angreifer, die ARTEX für Angriffe auf Banken eingesetzt haben, auch hinter diesen Sicherheitsverletzungen von Ende Oktober stecken. ARTEX ist ein in China entwickeltes Open-Source-Tool für agentengestützte Penetrationstests, das zusammen mit großen Sprachmodellen wie Claude Code läuft.
Cryptopolitan berichtete, CrowdStrike habe in offengelegten Serververzeichnissen die Claude-Code-Sitzungsprotokolle des Angreifers sowie ARTEX-Konfigurations- und Speicherdateien gefunden.
Auf Grundlage der ausgewerteten wiederhergestellten Dateien schrieb CrowdStrike den Angriff mit mittlerer Sicherheit einem chinesischsprachigen Akteur zu, der finanziell motiviert war. Da der Angreifer dieselben Tools zum Verfassen eines Lebenslaufs nutzte, legte er seine eigenen Kontakt- und Telegram-Daten offen. Laut CrowdStrike könnten diese zu einer 26-jährigen Person aus Maoming in Guangdong gehören.
Bemerkenswert ist, dass das Sicherheitsunternehmen einräumte, die Identifikatoren seien nicht zu 100 % zuverlässig.
Südkoreanische Fachleute stehen der Annahme einer chinesischen Beteiligung skeptisch gegenüber, wenn sie allein darauf gestützt wird, dass das Tool in China entwickelt wurde. Ein Professor der Graduate School of Information Security der Korea University stellte infrage, ob bei den Angriffen ausschließlich ARTEX verwendet wurde.
Die Zahl der Opfer steigt weiter
Anfang dieser Woche teilte die KB Kookmin Bank mit, dass eine detaillierte erneute Prüfung die bestätigte Zahl der Opfer von 119 auf 2.210 erhöht habe. Auch Mirae Asset Life Insurance, ein eigenständiges Unternehmen, entdeckte Eindringversuche und wurde daraufhin dringend vor Ort von der Finanzaufsichtsbehörde überprüft.
Die Finanzdienstleistungskommission hat bereits die Sicherheit von 555 Finanzunternehmen überprüft und bei 130 Mängel festgestellt, darunter fehlende Sicherheitspatches und keine Echtzeitüberwachung.
Bithumb führt seinerseits eine Kampagne durch, um Kunden zu warnen, dass geleakte personenbezogene Daten bei anschließenden Phishing- und Betrugsmaschen mit Fernzugriff erneut verwendet werden.
Die klügsten Köpfe der Kryptowelt lesen unseren Newsletter bereits. Lust, dabei zu sein? Schließ dich ihnen an.