Hàn Quốc chấn động vì tấn công AI nhắm 6 ngân hàng, dữ liệu khách hàng bị rò rỉ

Một loạt ngân hàng lớn tại Hàn Quốc đang trở thành mục tiêu của các cuộc tấn công mạng diễn ra gần như đồng thời. Đáng chú ý, các dấu vết điều tra cho thấy những kẻ tấn công có thể đã sử dụng công cụ tự động hóa dựa trên trí tuệ nhân tạo (AI) để tìm kiếm lỗ hổng và mở rộng phạm vi tấn công.

Tính đến ngày 2/10, ít nhất 6 ngân hàng được xác định đã trở thành mục tiêu của các cuộc tấn công, trong đó thông tin bị rò rỉ tại Shinhan Bank, KB Kookmin Bank, Hana Bank và BNK Busan Bank. Woori Bank và NH NongHyup Bank cũng được xác định có dấu hiệu bị tấn công nhưng chưa ghi nhận thông tin khách hàng bị rò rỉ tại thời điểm các báo cáo được công bố.

Tấn công đồng thời vào nhiều ngân hàng Hàn Quốc

Điểm đáng chú ý trong vụ việc lần này là phương thức tấn công không hoàn toàn giống các chiến dịch nhắm trực tiếp vào hệ thống ngân hàng trung tâm trước đây.

Thay vì chỉ tập trung vào các mạng máy tính cốt lõi, tin tặc được cho là đã tìm kiếm những hệ thống có khả năng truy cập từ bên ngoài, bao gồm các trang web và hệ thống hỗ trợ công việc dành cho nhân viên.

Tại KB Kookmin Bank, cuộc tấn công liên quan đến hệ thống hỗ trợ nghiệp vụ trên thiết bị di động mà nhân viên sử dụng. Thông tin của 119 khách hàng được xác định đã bị rò rỉ, bao gồm tên, số điện thoại, địa chỉ và thông tin số căn cước công dân đã được mã hóa.

Tại Hana Bank, hệ thống hỗ trợ bán hàng cũng bị truy cập bất thường. Ngân hàng xác nhận dữ liệu của 89 khách hàng bị rò rỉ, trong đó có tên, số điện thoại, địa chỉ, email, số căn cước và thông tin liên quan. Reuters cho biết Hana Bank xác nhận vụ việc nhưng cho biết dữ liệu tài chính của khách hàng không bị xâm phạm trong sự cố này.

BNK Busan Bank cũng báo cáo việc thông tin của 11 nhân viên thuộc đơn vị thuê ngoài bị lộ. Các thông tin được đề cập gồm tên, số điện thoại, email và ngày sinh.

Shinhan Bank: khoảng 25.000 khách hàng bị ảnh hưởng

Vụ việc gây chú ý đặc biệt là cuộc tấn công nhằm vào Shinhan Bank.

Theo các báo cáo được công bố, khoảng 25.000 khách hàng bị ảnh hưởng bởi sự cố rò rỉ dữ liệu. Một số thông tin được xác định liên quan đến dữ liệu cá nhân và dữ liệu phục vụ hoạt động tín dụng, trong đó có tên, số điện thoại, thu nhập hàng năm, hạn mức hoặc thông tin liên quan đến khoản vay. Một số lượng nhỏ thông tin định danh cá nhân cũng được ghi nhận trong báo cáo về sự cố.

Đáng chú ý, điểm khởi đầu của cuộc tấn công không phải là hệ thống giao dịch ngân hàng trực tuyến cốt lõi mà là một dịch vụ tra cứu dành cho hoạt động liên quan đến khoản vay.

Điều này cho thấy một hệ thống phụ trợ tưởng như ít quan trọng cũng có thể trở thành cửa ngõ để kẻ tấn công tiếp cận dữ liệu nhạy cảm nếu được kết nối với các hệ thống nghiệp vụ khác.

Dấu vết của công cụ tấn công sử dụng AI

Một trong những yếu tố khiến vụ việc trở nên đáng chú ý là dấu vết được cho là liên quan đến một công cụ AI có khả năng tự động hóa quá trình kiểm tra và khai thác lỗ hổng.

Theo Seoul Economic Daily, các nhà phân tích an ninh phát hiện dấu vết của một công cụ kiểm thử xâm nhập mã nguồn mở sử dụng tiếng Trung trên máy chủ được cho là liên quan đến cuộc tấn công Shinhan Bank. Công cụ này được mô tả có khả năng tự động hóa một số nhiệm vụ như quét lỗ hổng và xây dựng đường tấn công.

Điều này không đồng nghĩa với việc mọi chi tiết của chiến dịch đã được xác nhận là do một “AI hacker” tự vận hành. Cơ quan điều tra vẫn đang xác định chính xác công cụ, người điều khiển và phương thức tấn công.

Tuy nhiên, khả năng sử dụng AI agent đang được giới an ninh mạng đặc biệt quan tâm.

AI agent có thể được thiết kế để nhận một mục tiêu, sau đó tự động thực hiện chuỗi hành động như tìm kiếm hệ thống có thể truy cập, phân tích phản hồi của máy chủ, thử các phương án tiếp cận và chuyển sang một đường tấn công khác nếu phương án trước đó thất bại.

Nếu được sử dụng trong tấn công mạng, phương thức này có thể giúp giảm đáng kể lượng thao tác thủ công mà kẻ tấn công phải thực hiện.

Vì sao cuộc tấn công lần này đáng lo ngại?

Điểm đáng lo không chỉ nằm ở số lượng dữ liệu đã bị rò rỉ mà còn ở cách thức lựa chọn mục tiêu.

Các ngân hàng thường đầu tư rất lớn cho việc bảo vệ hệ thống giao dịch chính. Tuy nhiên, một tổ chức tài chính có thể sở hữu hàng trăm hoặc hàng nghìn hệ thống phụ trợ khác nhau, từ cổng thông tin dành cho nhân viên, hệ thống hỗ trợ bán hàng, nền tảng dành cho đối tác cho tới các máy chủ phục vụ nghiệp vụ nội bộ.

Một lỗ hổng tại một hệ thống ít được chú ý vẫn có thể tạo ra rủi ro nếu hệ thống đó có quyền truy cập vào dữ liệu khách hàng.

Theo các báo cáo tại Hàn Quốc, các cuộc tấn công lần này có điểm chung là nhắm vào những hệ thống có thể truy cập từ bên ngoài. Đây cũng là lý do giới chuyên gia đặt câu hỏi về việc liệu cách thức đánh giá an ninh mạng hiện nay có đang tập trung quá nhiều vào hệ thống cốt lõi mà chưa kiểm soát đầy đủ các “cửa ngõ” phụ trợ hay không.

6 ngân hàng bị nhắm mục tiêu, 4 nơi ghi nhận rò rỉ

Tình hình được công bố ngày 2/10 cho thấy phạm vi vụ việc rộng hơn một sự cố riêng lẻ tại một ngân hàng.

Có ít nhất 6 ngân hàng được xác định là mục tiêu của các cuộc tấn công. Trong số này, 4 ngân hàng ghi nhận dữ liệu bị lộ gồm:

• Shinhan Bank: khoảng 25.000 khách hàng bị ảnh hưởng.
• KB Kookmin Bank: 119 khách hàng bị rò rỉ thông tin.
• Hana Bank: 89 khách hàng bị rò rỉ thông tin.
• BNK Busan Bank: thông tin của 11 nhân viên thuộc đơn vị thuê ngoài bị lộ.

Trong khi đó, Woori Bank và NH NongHyup Bank cũng ghi nhận các cuộc tấn công hoặc nỗ lực xâm nhập tương tự nhưng chưa xác nhận dữ liệu bị rò rỉ tại thời điểm báo cáo.

Việc nhiều ngân hàng bị nhắm mục tiêu trong khoảng thời gian ngắn khiến giới chức Hàn Quốc không xem đây đơn thuần là những sự cố độc lập.

Cơ quan quản lý Hàn Quốc lập tức họp khẩn

Trước diễn biến này, Ủy ban Dịch vụ Tài chính Hàn Quốc (FSC) đã tổ chức cuộc họp khẩn vào ngày 2/10 với sự tham gia của các cơ quan liên quan và đại diện ngành tài chính.

Cơ quan quản lý yêu cầu ngân hàng và các tổ chức tài chính tiến hành kiểm tra hệ thống máy tính, đặc biệt tập trung vào những hệ thống có khả năng tiếp cận từ bên ngoài, cơ chế xác thực và kiểm soát quyền truy cập.

Các tổ chức tài chính cũng được yêu cầu chia sẻ nhanh thông tin về địa chỉ IP tấn công, phương thức xâm nhập và các dấu hiệu bất thường để hỗ trợ việc phát hiện các cuộc tấn công tương tự.

Reuters cũng đưa tin FSC đã yêu cầu các tổ chức tài chính tăng cường kiểm tra và củng cố hệ thống an ninh mạng nhằm ngăn chặn truy cập trái phép.

Song song với động thái của cơ quan quản lý, cảnh sát Hàn Quốc đã bắt đầu điều tra sơ bộ đối với các vụ việc liên quan đến Shinhan, KB Kookmin, Hana và BNK Busan Bank.

Nguy cơ không chỉ giới hạn trong ngành ngân hàng

Một câu hỏi lớn được đặt ra hiện nay là liệu chiến dịch tấn công có chỉ nhằm vào ngân hàng hay đã mở rộng sang các lĩnh vực khác.

Nếu các công cụ tự động hóa AI thực sự được sử dụng, kẻ tấn công có thể không cần lựa chọn một mục tiêu duy nhất. Thay vào đó, hệ thống tự động có thể quét nhiều tổ chức cùng lúc và chuyển sang mục tiêu tiếp theo khi phát hiện một hệ thống được bảo vệ tốt.

Điều này làm thay đổi đáng kể bài toán phòng thủ.

Một doanh nghiệp có thể không phải mục tiêu chính nhưng vẫn bị quét và kiểm tra tự động. Những hệ thống có lỗ hổng chưa được vá hoặc cấu hình sai có thể trở thành điểm xâm nhập.

Giáo sư Kim Hwan-guk thuộc Khoa An ninh Thông tin và Mật mã học, Đại học Kookmin, nhận định rằng khi công nghệ tấn công bằng AI phát triển, hệ thống và công nghệ bảo mật của cả ngân hàng lẫn doanh nghiệp có thể không theo kịp tốc độ phát triển của phương thức tấn công.

Nhận định này cho thấy vấn đề không còn chỉ là bảo vệ một ngân hàng riêng lẻ mà có thể trở thành bài toán an ninh mạng rộng hơn đối với doanh nghiệp và các tổ chức công.

AI có thể thay đổi cuộc chơi an ninh mạng như thế nào?

Trong mô hình tấn công truyền thống, tin tặc thường phải tự mình thực hiện nhiều bước: tìm mục tiêu, quét cổng, kiểm tra lỗ hổng, thử phương thức xâm nhập và phân tích kết quả.

AI có khả năng hỗ trợ tự động hóa một phần hoặc nhiều bước trong chuỗi này.

Nếu công nghệ tiếp tục phát triển, các cuộc tấn công có thể trở nên:

Nhanh hơn: hệ thống tự động có thể kiểm tra nhiều mục tiêu trong thời gian ngắn.

Có khả năng thích ứng: khi một phương thức không hiệu quả, hệ thống có thể tìm kiếm phương án khác.

Khó phát hiện hơn: lưu lượng và hành vi bất thường có thể được phân tán trên nhiều địa chỉ và nhiều hệ thống.

Có phạm vi rộng hơn: một tác nhân tự động có thể kiểm tra nhiều tổ chức thay vì tập trung vào một mục tiêu duy nhất.

Tuy nhiên, cần phân biệt giữa việc AI được sử dụng như một công cụ hỗ trợ tấn công và việc một hệ thống AI hoàn toàn tự chủ thực hiện toàn bộ chiến dịch. Các cuộc điều tra hiện tại tại Hàn Quốc vẫn đang tiếp tục xác định mức độ tự động hóa thực tế của các vụ tấn công.

Người dùng ngân hàng cần lưu ý gì sau vụ việc?

Đối với khách hàng ngân hàng, rò rỉ thông tin cá nhân không nhất thiết đồng nghĩa với việc tiền trong tài khoản đã bị lấy cắp.

Tuy nhiên, dữ liệu bị lộ có thể được sử dụng cho các hình thức tấn công tiếp theo như giả mạo danh tính, lừa đảo qua điện thoại, tin nhắn hoặc email.

Người dùng nên đặc biệt cảnh giác nếu nhận được cuộc gọi tự xưng là nhân viên ngân hàng và yêu cầu cung cấp mã OTP, mật khẩu, thông tin thẻ hoặc cài đặt ứng dụng không rõ nguồn gốc.

Trong trường hợp nhận được thông báo liên quan đến một sự cố bảo mật, khách hàng nên kiểm tra thông tin trực tiếp thông qua ứng dụng hoặc kênh chính thức của ngân hàng thay vì sử dụng số điện thoại hoặc đường link được gửi trong tin nhắn lạ.

Bài học lớn đối với ngành tài chính

Vụ việc tại Hàn Quốc cho thấy chiến lược bảo mật ngân hàng đang phải đối mặt với một bài toán mới.

Không thể chỉ bảo vệ hệ thống giao dịch trung tâm rồi coi toàn bộ mạng lưới đã an toàn. Các cổng truy cập dành cho nhân viên, đối tác, đại lý, nhà cung cấp và các hệ thống nghiệp vụ phụ trợ cũng có thể trở thành mục tiêu.

Đặc biệt, nếu AI agent được sử dụng để tự động hóa quá trình tấn công, tốc độ phát hiện và xử lý của hệ thống phòng thủ sẽ trở thành yếu tố quyết định.

Cuộc điều tra tại Hàn Quốc vẫn đang tiếp tục. Điều quan trọng trong giai đoạn này là xác định chính xác nguồn gốc cuộc tấn công, phương thức xâm nhập, phạm vi dữ liệu bị ảnh hưởng và liệu có những tổ chức khác đã trở thành mục tiêu nhưng chưa phát hiện ra hay không.

Với việc cơ quan quản lý yêu cầu kiểm tra diện rộng hệ thống ngân hàng và thẻ tín dụng, vụ việc có thể trở thành một phép thử quan trọng đối với năng lực phòng thủ mạng của ngành tài chính Hàn Quốc trong thời kỳ AI ngày càng được sử dụng rộng rãi.

Nguồn tham khảo:ChosunBiz; Seoul Economic Daily; The Korea Economic Daily

Câu hỏi về các vụ tấn công nhằm vào ngân hàng Hàn Quốc

Tấn công AI vào ngân hàng Hàn Quốc có phải là một vụ duy nhất?

Chưa thể khẳng định tất cả các vụ việc đều do cùng một tác nhân thực hiện. Tuy nhiên, nhiều ngân hàng đã ghi nhận các cuộc tấn công trong khoảng thời gian gần nhau và có những điểm tương đồng về việc nhắm vào hệ thống có khả năng truy cập từ bên ngoài. Cơ quan chức năng vẫn đang điều tra mối liên hệ giữa các vụ việc.

Những ngân hàng nào đã xác nhận thông tin bị rò rỉ?

Tính đến ngày 2/10, Shinhan Bank, KB Kookmin Bank, Hana Bank và BNK Busan Bank đã công bố các trường hợp thông tin bị lộ. Woori Bank và NH NongHyup Bank cũng ghi nhận nỗ lực tấn công nhưng chưa xác nhận dữ liệu bị rò rỉ tại thời điểm các báo cáo được công bố.

Có phải tiền trong tài khoản khách hàng đã bị đánh cắp?

Các báo cáo hiện có tập trung vào việc thông tin cá nhân và một số dữ liệu liên quan đến tín dụng bị rò rỉ. Điều này khác với việc trực tiếp chiếm đoạt tiền trong tài khoản. Khách hàng vẫn cần cảnh giác với nguy cơ lừa đảo thứ cấp sử dụng dữ liệu cá nhân bị lộ.

Vì sao tin tặc lại tấn công hệ thống dành cho nhân viên?

Các hệ thống hỗ trợ nhân viên hoặc đối tác đôi khi có quyền truy cập vào dữ liệu nghiệp vụ nhưng có thể không được bảo vệ theo cùng cách với hệ thống giao dịch cốt lõi. Vì vậy, nếu một hệ thống phụ trợ có lỗ hổng, nó có thể trở thành điểm xâm nhập để tiếp cận dữ liệu có giá trị.

AI có khiến các cuộc tấn công mạng nguy hiểm hơn?

AI có thể giúp tự động hóa nhiều công đoạn trong quá trình tìm kiếm và khai thác mục tiêu. Tuy nhiên, mức độ nguy hiểm phụ thuộc vào công cụ, quyền truy cập, lỗ hổng cụ thể và cách thức con người sử dụng AI. Vụ việc tại Hàn Quốc đang được điều tra để xác định chính xác vai trò của AI trong các cuộc tấn công.