CrowdStrike ยืนยัน! แฮกเกอร์ใช้ ARTEX AI และ Claude เจาะธนาคารเกาหลีใต้
CrowdStrike ออกมายืนยันแล้วว่า กลุ่มแฮกเกอร์ได้ใช้เครื่องมือ AI อย่าง ARTEX AI และ Claude Code เข้าช่วยปฏิบัติการโจมตีธนาคารหลายแห่งในเกาหลีใต้ ส่งผลให้ข้อมูลส่วนบุคคลของลูกค้าและข้อมูลบัตรเครดิตตกอยู่ในความเสี่ยง ขณะที่บางกรณีเกิดระบบขัดข้องจนกระทบการให้บริการ เหตุการณ์ดังกล่าวทำให้รัฐบาลเกาหลีใต้เรียกประชุมฉุกเฉิน พร้อมสั่งให้หน่วยงานที่เกี่ยวข้องเร่งยกระดับความปลอดภัยของระบบไอทีที่มีความสำคัญ
ธนาคารที่ตกเป็นเป้าหมาย ได้แก่ Shinhan Bank, KB Kookmin Bank และ Hana Bank โดยข้อมูลจากการตรวจสอบของ CrowdStrike ชี้ว่า ผู้โจมตีพูดภาษาจีนและนำเครื่องมือ AI หลายตัวมาทำงานร่วมกัน เพื่อช่วยดำเนินกิจกรรมที่เกี่ยวข้องกับการเจาะระบบและรวบรวมข้อมูลจากเป้าหมาย
เปิดเบื้องหลัง ใช้ AI หลายค่ายช่วยเจาะระบบธนาคาร
CrowdStrike ยืนยันว่า ผู้โจมตีใช้ ARTEX AI ซึ่งเป็นชุดเครื่องมือทดสอบเจาะระบบที่พัฒนาในจีนและก่อนหน้านี้เปิดให้ใช้งานในรูปแบบโอเพนซอร์ส เครื่องมือนี้ออกแบบมาให้ AI Agent ช่วยทำงานด้านการทดสอบความปลอดภัยหลายขั้นตอนโดยอัตโนมัติ ตั้งแต่การวิเคราะห์เป้าหมายไปจนถึงการดำเนินงานตามแผนที่กำหนด
นักวิจัยสามารถติดตามโครงสร้างพื้นฐานที่ผู้โจมตีใช้ และพบไดเรกทอรีที่เปิดให้เข้าถึงได้โดยไม่มีการป้องกันเพียงพอ ภายในมีทั้งประวัติการทำงานของ Claude Code ไฟล์ตั้งค่า ARTEX และไฟล์หน่วยความจำของ Claude ซึ่งช่วยให้นักวิจัยย้อนดูขั้นตอนและเครื่องมือที่ใช้ในการโจมตีได้
จากข้อมูลที่ตรวจพบ ARTEX ถูกตั้งค่าให้ใช้ DeepSeek V4.1-Flash เป็นโมเดลภาษาขนาดใหญ่ (LLM) หลัก ขณะที่ผู้โจมตียังใช้ GLM-5.3 จาก Zhipu AI และ Grok 4.6 ในการทำงานร่วมกับ Claude Code เพิ่มเติม โดยนักวิจัยคาดว่าผู้โจมตีเข้าถึง DeepSeek ผ่านผู้ให้บริการตัวกลางหรือผู้จำหน่ายต่อ API ที่ชื่อ xcai[.]pro
หลักฐานจากประวัติการใช้งาน AI ยังมีรายละเอียดของเป้าหมายที่สอดคล้องกับรายงานการเจาะระบบภาคการเงินที่เผยแพร่ก่อนหน้านี้ ช่วยให้นักวิจัยเชื่อมโยงเหตุการณ์เหล่านี้เข้าด้วยกันได้ด้วยความมั่นใจสูง
AI เผยข้อมูลผู้โจมตีเอง ก่อนผู้พัฒนา ARTEX ปิดโครงการ
อีกประเด็นที่น่าสนใจคือ ผู้โจมตีนำเครื่องมือ AI ชุดเดียวกันไปช่วยจัดทำประวัติส่วนตัวหรือเรซูเม่ ทำให้ข้อมูลระบุตัวบุคคล ช่องทางติดต่อ และบัญชี Telegram ปรากฏอยู่ในหลักฐานที่นักวิจัยค้นพบ
CrowdStrike ระบุว่า ข้อมูลในเรซูเม่อาจเชื่อมโยงผู้โจมตีกับชายชาวจีนวัย 26 ปี ซึ่งมีประวัติศึกษาที่ South China University of Technology และอาศัยอยู่ในเมือง Maoming มณฑลกวางตุ้ง อย่างไรก็ตาม ข้อมูลดังกล่าวยังไม่เพียงพอที่จะยืนยันตัวตน เนื่องจากผู้โจมตีเคยระบุปีเกิดเป็นปี 2007 ในข้อมูลอีกชุดหนึ่ง ทำให้รายละเอียดส่วนบุคคลที่พบอาจไม่ถูกต้องหรือไม่สามารถใช้ยืนยันตัวบุคคลได้อย่างแน่ชัด
บันทึกการใช้งานยังชี้ว่า ผู้โจมตีไม่ได้มีแผนชัดเจนว่าจะนำข้อมูลที่ขโมยจากธนาคารเกาหลีใต้ไปหารายได้อย่างไร โดยมีการถาม Claude ให้ช่วยแนะนำกลุ่ม Telegram ที่ซื้อขายข้อมูลและมุ่งเน้นตลาดเกาหลีใต้
หลังยืนยันได้ว่า ARTEX ถูกนำไปใช้โจมตีระบบจริง ผู้พัฒนาได้ตัดสินใจเปลี่ยนโครงการเป็นซอร์สปิดและยุติการอัปเดตเพิ่มเติม อย่างไรก็ตาม โค้ดของโครงการที่มีอยู่ถูกนำไปพัฒนาต่อยอดเป็นเครื่องมือดัดแปลงทั้งภาษาอังกฤษและภาษาเกาหลี ทำให้เทคโนโลยีดังกล่าวยังคงมีให้ใช้งานในรูปแบบอื่น
กรณีนี้สะท้อนความเสี่ยงที่เพิ่มขึ้นจากการนำ AI Agent มาใช้ในงานไซเบอร์ เพราะเครื่องมือที่ออกแบบมาเพื่อทดสอบความปลอดภัยสามารถถูกนำไปใช้ในทางที่ผิดได้เช่นกัน ขณะเดียวกัน การนำ AI หลายค่ายมาทำงานร่วมกันยังทำให้การตรวจสอบต้องพิจารณาทั้งเครื่องมือ โครงสร้างพื้นฐาน และประวัติการใช้งาน เพื่อให้เข้าใจภาพรวมของการโจมตีได้ครบถ้วน