La Corée du Sud enquête sur l’utilisation présumée de l’IA dans les violations de données du secteur financier.

La Corée du Sud enquête sur les liens entre l’IA et les fuites de données bancaires. Image : Banque Shinhan

La Corée du Sud enquête sur l’utilisation présumée de l’IA dans des violations de données du secteur financier, les systèmes de prêts exposés et les données clients divulguées augmentant les risques d’hameçonnage et de fraude.

Les autorités sud-coréennes enquêtent pour déterminer si l’intelligence artificielle a permis aux attaquants de pénétrer des institutions financières via des systèmes de prêts et de ventes vulnérables.

Ces violations ont exposé des informations personnelles et financières, suscitant des inquiétudes quant aux risques de phishing et de fraude ultérieurs.

La banque Shinhan a signalé une fuite de données concernant environ 25 000 clients, tandis que la banque d’épargne Yegaram a fait état d’une violation de données touchant près de 40 000 personnes. D’autres violations ont été signalées chez KB Kookmin Bank, Hana Bank, BNK Busan Bank, Welcome Savings Bank et Hyundai Capital, certaines concernant des informations sur des employés ou des courtiers en prêts plutôt que des données clients.

Les autorités ont constaté la présence d’adresses IP identiques ou similaires dans certains incidents, ce qui laisse supposer qu’un seul attaquant ou groupe d’attaquants ciblait plusieurs sociétés financières. Les attaques visaient principalement des systèmes non critiques accessibles de l’extérieur, utilisés par les courtiers en prêts, les commerciaux et d’autres tiers, plutôt que les réseaux bancaires et de paiement principaux.

ARTEX AI soulève une question plus importante

L’agence Yonhap a rapporté le 2 octobre que Moon Jong-hyun, directeur du centre de sécurité Genians, avait identifié une page web en chinois portant le nom ARTEX AI sur un serveur soupçonné d’être impliqué dans une attaque par bourrage d’identifiants visant la banque Shinhan. Selon l’agence, cette page, intitulée « ARTEX-自主渗透試控制台 », se traduit par « Console de test d’intrusion autonome IA » .

Cette découverte ne prouve pas qu’ARTEX AI ait été utilisé lors de l’attaque. Le logiciel étant libre de droits et téléchargeable par tous, la seule trace en chinois ne permet pas d’identifier l’exploitant du serveur ni le lieu d’origine de l’attaquant.

ARTEX AI est conçu pour automatiser une grande partie du processus de test d’intrusion , notamment la reconnaissance, la découverte des vulnérabilités, la planification des attaques, l’exécution des outils de sécurité et la vérification des vulnérabilités. Cette même automatisation peut potentiellement être détournée par des cybercriminels pour accélérer leurs attaques.

Le maillon faible se situe peut-être en dehors de la banque.

Ces incidents révèlent un problème qui va au-delà de la simple utilisation de l’IA par un attaquant : les institutions financières peuvent avoir des systèmes centraux fortement protégés tout en laissant leurs services périphériques exposés aux attaques.

Dans l’affaire Shinhan, l’attaquant aurait contourné les contrôles d’identité d’un service lié aux prêts plutôt que de s’introduire directement dans l’infrastructure transactionnelle centrale de la banque. De ce fait, les portails tiers, les applications accessibles de l’extérieur et les systèmes d’authentification constituent des éléments essentiels du périmètre de sécurité d’une banque, même lorsqu’ils ne traitent pas directement les paiements. 

Cela explique également pourquoi une simple augmentation des dépenses en cybersécurité ne suffit pas à empêcher des incidents similaires. Le Korea Herald a rapporté que le budget de Shinhan consacré à la sécurité de l’information était le plus faible des quatre plus grandes banques commerciales du pays, mais les autorités de régulation ont indiqué que les différences de dommages ne s’expliquent pas uniquement par les dépenses. Elles examinent l’efficacité avec laquelle le cadre de sécurité de chaque institution a permis d’identifier et de corriger les failles.

Augmentation des risques d’hameçonnage pour les consommateurs de services bancaires

Le président de la Commission des services financiers, Lee Eog-weon, a déclaré le 4 octobre que les autorités n’avaient pas identifié d’informations divulguées directement exploitables pour des paiements frauduleux. Il a toutefois averti que les données exposées pourraient permettre l’hameçonnage vocal, l’envoi de SMS frauduleux et d’autres cyberattaques.

D’après le Korea Herald, les données de demandes de prêt divulguées par Shinhan incluaient les noms, numéros de téléphone, revenus annuels et plafonds d’emprunt calculés. Ces informations pourraient permettre aux escrocs de rendre leurs appels vocaux et SMS frauduleux plus convaincants en se faisant passer pour des représentants de la banque disposant de données financières exactes.

Les autorités de réglementation ont ordonné aux institutions financières de bloquer tout accès externe non essentiel et de revoir leurs actifs informatiques exposés, leurs systèmes d’authentification, de contrôle d’accès et de détection d’intrusion. Il est conseillé aux clients de surveiller attentivement les notifications relatives à leurs comptes, de se méfier des appels non sollicités concernant des prêts et de vérifier directement l’authenticité des communications auprès des agences agréées.

Pour les équipes de sécurité, il est essentiel d’inclure les portails de courtage en prêts, les applications de vente et autres services périphériques dans les analyses de sécurité. La protection des réseaux de paiement n’élimine pas le risque de divulgation des informations client via les systèmes d’entreprise connectés.

https://www.esecurityplanet.com/news/news-financial-sector-breaches-ai-apac-south-korea