Полиция Сеула раскрыла серию взломов с ARTEX AI. По версии следствия, в 2025–2026 годах семеро подозреваемых взломали более 90 организаций в Южной Корее и похитили 8,2 млн записей. Организатор — 32-летний бывший сотрудник ИБ-компании, который увеличил масштаб атак с помощью автономного фреймворка для пентеста.
Коротко
- Полиция Сеула связала с ARTEX AI большинство из более чем 90 взломов в Южной Корее; похищено 8,2 млн записей.
- Если хронология точна, основная часть атак пришлась примерно на полтора месяца после перехода на ИИ-утилиты в конце августа 2026 года.
- В 38 эпизодах требовали 360 млн вон; неясно, за эпизод или в сумме, оплата не подтверждена.
- CVE, IoC и вектор входа не раскрыты — защищаться приходится журналами, контролем учёток и проверкой периметра.
Взлом с ARTEX AI: что выяснила полиция Сеула
Сеульская столичная полиция установила семь участников серии атак на более чем 90 организаций в Южной Корее. В большинстве эпизодов организатор использовал автономный фреймворк для пентеста ARTEX AI, сообщили местные СМИ и агентство Yonhap. Полиция называет это первым в Корее арестом по делу о крупном взломе и краже персональных данных с помощью генеративного ИИ.
Следователи оценивают похищенное в 8,2 млн записей — в среднем меньше 91 тыс. на организацию. Среди пострадавших учебные заведения, больницы, крупные компании и гольф-клубы; названия в сообщениях не приводятся. Записей больше, чем людей: один человек может числиться в нескольких базах.
Дело завели после жалобы потерпевшего в июне — год источники не называют, но по датам это может быть только 2026-й. На подозреваемых вышли по логам серверов взломанных организаций, а изъятое полиция разбирала собственным ИИ-инструментом.
Кто организатор и когда в деле появился ИИ
Предполагаемый лидер — 32-летний хакер-самоучка, в 2019–2022 годах работавший в компании по кибербезопасности. С сентября 2025 года он атаковал обычными инструментами, а в конце августа 2026-го перешёл на ИИ-утилиты. Если хронология точна, большая часть взломов уложилась примерно в полтора месяца до ареста; разбивки эпизодов по датам полиция не дала. Как автоматизация сжимает путь от разведки до взлома, мы разбирали в материале ИИ переписал экономику взлома.
Задержали всех семерых, но под стражей только лидер: арестован 15 октября 2026 года, через два дня заключён под стражу, 23 октября дело передали в прокуратуру. Остальные шестеро остаются на свободе, их роли не раскрыты.
Что известно об ARTEX AI и связан ли он с атаками на банки?
Почти ничего. Разработчик, версия и способ распространения фреймворка не названы, так что нельзя сказать, доступен ли он кому угодно. Тот же инструмент раньше всплывал в атаках на южнокорейские банки, которые приписывали китайскоязычной группировке. Но общий инструмент не доказывает связи исполнителей, и полиция её не заявляет.
360 млн вон — это за один эпизод или за всё?
Из сообщений не понять. Выкуп требовали в 38 эпизодах из более чем 90: 360 млн вон (около $270 000) за неразглашение данных. Если сумма за каждый эпизод, итог — 13,68 млрд вон, разница почти в 40 раз. Сведений об оплате нет.
Системы не шифровали, давили угрозой публикации, поэтому резервные копии здесь не спасают. Следствие проверяет даркнет, но отсутствие находок не значит, что копий нет: базы могли остаться у злоумышленника или уйти частному покупателю.
Что проверить, если CVE и индикаторов нет?
Бюллетеня вендора не будет: в деле нет ни CVE, ни хешей, доменов и IP-адресов, ни описания первоначального доступа. Полиция объясняет масштаб тем, что ИИ снизил порог входа.
«Даже те, кто не входит в профессиональные хакерские группировки, теперь могут взламывать в больших масштабах с помощью ИИ», — заявила полиция Сеула.
Отдельной подписи ИИ в журналах не будет: автономный сканер выглядит как обычное сканирование. Ищите цепочку: сканирование или перебор, затем успешный вход или эксплуатация, затем выгрузка данных в необычном объёме и рост исходящего трафика.
- Собирайте логи веб-серверов, WAF, VPN, IdP и СУБД в хранилище с защитой от изменения (WORM), время синхронизируйте по NTP.
- Журналируйте выборки и экспорт из баз — без этого масштаб утечки не оценить.
- Проверьте учётки с широкими правами и бессрочные сервисные ключи.
- Проверяйте весь внешний периметр, например пентест с использованием ИИ с ручной перепроверкой находок.
Частые вопросы
Что такое ARTEX AI в деле полиции Сеула?
По описанию полиции, автономный фреймворк для пентеста, которым организатор пользовался в большинстве атак. Разработчик, версия и способ распространения не названы.
Сколько организаций пострадало и сколько данных украли?
Более 90 организаций в Южной Корее и, по оценке следствия, 8,2 млн записей. Людей может быть меньше: один человек мог числиться в нескольких базах.
Сколько человек арестовали и кто остался под стражей?
Задержали семерых, под стражей только предполагаемый лидер. 23 октября 2026 года его дело передали в прокуратуру.
Если атакующий проходит периметр за дни, проверки раз в год мало. SecurityLab.pro проводит пентест по подписке: проверяем внешний периметр по расписанию и находим новые дыры раньше чужого агента.