עשרות אלפי לקוחות נוספים נחשפו, ובדיקות קודמות כבר מצאו ליקויי אבטחה בכמעט רבע מהחברות שנבדקו. הקשר ל־AI בגל החדש עדיין בחקירה.
כשגל פריצות שני מגיע בתוך כחודש, קשה להמשיך להתייחס לכל אירוע כאל תקלה מקומית. ענף הפיננסים בדרום קוריאה מתמודד שוב עם חדירות למערכות, הפעם גם בחברות השקעות ובבורסת קריפטו. TechCrunch מדווח על גל נוסף בענף, כשהשאלה המרחפת מעליו היא עד כמה כלי בינה מלאכותית מסייעים לתוקפים. אבל כדאי להפריד כבר עכשיו בין החשד לבין הממצא: שימוש ב־AI נקשר למתקפות הקודמות; לגבי האירועים החדשים, זהות התוקפים ושיטת החדירה עדיין לא הובהרו. בינתיים, מה שכבר ברור הוא שהבעיה חורגת מבנקים ומגיעה לחלקים נוספים בשרשרת השירותים הפיננסיים.
לפי דיווח בלומברג שפורסם ב־Insurance Journal, חברת Daishin Securities מסרה כי מידע אישי ומידע אשראי של 38,490 לקוחות דלפו. החברה זיהתה גישה חשודה ב־17 באוקטובר לשרת התומך בפתיחת חשבונות מרחוק. המידע שנחשף כלל שמות, כתובות דוא״ל וכתובות מגורים, וכן מספרי חשבון וטלפון נייד שהיו מוצפנים. לדבריה, לא נמצאו ראיות לנזק נוסף ללקוחות או לחדירה למערכות הליבה. גם Mirae Asset Global Investments דיווחה על גישה בלתי מורשית למערכות אינטרנט המשמשות לפעילות עסקית, אך מסרה שהן אינן משרתות משקיעים קמעונאיים ושלא נגרם הפסד כספי. בורסת Bithumb זיהתה גישה בלתי מורשית למערכת עבודה פנימית במובייל; היקף הדליפה האפשרית, לרבות חשיפה של מידע לקוחות, נמצא בבדיקה. אלו אירועים נפרדים עם תמונת נזק שונה, ולא ראיה לכך שכל חשבונות הלקוחות נפרצו.
הרקע לחשש הנוכחי מגיע מסוף ספטמבר. לפי דיווח רויטרס מ־8 באוקטובר, חברת אבטחת הסייבר CrowdStrike העריכה כי מאחורי המתקפות הקודמות עמד ככל הנראה תוקף בן 26 שפעל מסין והשתמש בכלי ARTEX וב־Claude Code של אנתרופיק. ההערכה התבססה על ניתוח תשתיות התקיפה ותיעוד של עבודה עם כלי AI. באותו שלב, לפחות תשעה בנקים בדרום קוריאה דיווחו על ניסיונות תקיפה או הוזכרו בדיווחים מקומיים כיעדים. המשמעות אינה שמערכת עצמאית החליטה לפרוץ לבנקים: התיאור של CrowdStrike היה של אדם המשתמש בסוכני AI כדי לבצע מתקפות בהיקף רחב. גם הייחוס הגאוגרפי הוא הערכת חברת אבטחה, ולא קביעה שהממשלה הסינית הפעילה את התוקף.
היקף האירועים כבר התרחב עוד לפני הדיווחים האחרונים. לפי נתוני הרגולטור שפרסם Korea Times ב־14 באוקטובר, מתקפות שנחשדו כמסתייעות בסוכני AI פגעו ב־16 חברות פיננסיות ונחשפו בהן כ־100 אלף רשומות מידע אישי. הנתון מתייחס לרשומות, ולא בהכרח למספר זהה של אנשים. באותה בדיקה רגולטורית נמצאו ליקויי אבטחה ב־130 מתוך 555 חברות שנבדקו — 23.4%. הרשימה הייתה מוכרת למדי: עדכוני אבטחה שלא הותקנו, מערכות שהיצרן הפסיק לתמוך בהן, היעדר ניטור מסביב לשעון וחולשות בזיהוי משתמשים ובהרשאות במערכות חיצוניות. באותו מועד מסרו הרשויות שלא נמצאו ראיות לחשיפת מספרי חשבונות או כרטיסים באירועים שנכללו בדיווח. אין להשליך את הקביעה ההיא אוטומטית על הגל החדש.
פרט משמעותי נוסף עולה מתוך הסיקור המקומי של ChosunBiz בתחילת אוקטובר: חלק מהחדירות פגעו במערכות עזר לעובדים ולמתווכי הלוואות, בעוד ששירותי הבנקאות באינטרנט ובמובייל לא נפגעו באירועים שתוארו שם. נמצאו בין היתר שירותי מידע ללא אימות זהות מספק, בקרות גישה שלא פעלו כראוי וניצול של חולשות מוכרות בשרתים. מנגד, גופים שהפעילו אימות רב־שלבי או תיקנו חולשות מראש הצליחו להימנע מפריצה בניסיונות דומים. זו נקודה כלכלית חשובה: מערכת יכולה להמשיך לעבוד ולשרת לקוחות בזמן שמידע זולג ממערכת סמוכה. זמינות השירות לבדה אינה מדד מספיק להיקף האירוע או לאיכות ההגנה.
מנקודת מבט ישראלית, הלקח הוא ניהולי לא פחות מטכנולוגי. זו פרשנות לממצאים מקוריאה, ולא טענה שהתגלתה מתקפה דומה בישראל: אם כלי AI מאפשרים לתוקף יחיד להרחיב את היקף הפעילות, גם מערכות שנחשבו שוליות צריכות לקבל מקום בדיון התקציבי. אתר לפתיחת חשבון, ממשק לספק או מערכת תמיכה לעובדים עשויים להחזיק מידע רגיש גם כשהכסף עצמו מוגן במערכת אחרת. עבור לקוח, היעדר הפסד כספי מיידי אינו מוחק את חשיפת הפרטים; עבור הנהלה, רכישת כלי הגנה חדש אינה מחליפה אחריות לעדכונים ולהרשאות. החקירה עוד צריכה לקבוע אם AI היה מעורב גם בגל האחרון. את סגירת הפרצות המוכרות אין סיבה לדחות עד לתשובה.
