Zuid-Koreaanse politie houdt zeven verdachten aan na AI-hack

AI-hack bij ruim 90 organisaties: de Zuid-Koreaanse politie hield zeven verdachten aan die volgens het onderzoek 8,2 miljoen persoonsgegevens en interne bestanden zouden hebben gestolen, meldt Yonhap.

Een kwetsbaar webportaal kan in zo’n campagne tegelijk toegang geven tot klantgegevens en een drukmiddel voor afpersing opleveren. Voor Nederlandse organisaties die persoonsgegevens via websites, patiënt- of klantenportalen verwerken, loopt de inzet in één keten: binnendringen, kopiëren en dreigen. De incidentrespons draait dan ook om het afbakenen van geraakte bestanden en het bewaren van dreigberichten, naast het sluiten van de toegang.

AI versnelde de laatste zestig inbraken

De politie beschrijft een campagne van ongeveer dertien maanden, van september 2025 tot oktober 2026. De 32-jarige hoofdverdachte werkte eerder drie jaar bij een beveiligingsbedrijf en voerde daar penetratietests uit. Hij leerde ook zelf hacktechnieken via blogs en YouTube. In de eerste fase bediende hij geautomatiseerde hulpmiddelen voor het zoeken naar kwetsbaarheden zelf.

Vanaf 31 augustus gebruikte de groep AI bij de aanvallen. In de 44 dagen tot 13 oktober werden ongeveer zestig bedrijven gehackt, volgens het onderzoek. De hoofdverdachte combineerde een AI-codeeragent met een autonoom systeem voor penetratietests. De tijdlijn en aantallen komen uit de reconstructie van de Zuid-Koreaanse politie van zestig gehackte bedrijven in 44 dagen.

De doelwitten liepen uiteen van golfbanen, opleidingsinstituten en ziekenhuizen tot universiteiten, uitvaartbedrijven, verzekeringsverkopers en dochterbedrijven van grote concerns. De buit bestond uit persoonsgegevens en interne bedrijfsdocumenten: namen, Zuid-Koreaanse burgerservicenummers, telefoonnummers en adressen, maar geen creditcardgegevens. Op 26 oktober hadden 15 bedrijven schade gemeld en onderzocht de politie nog 75 andere doelwitten, meldt The Herald Business.

ARTEX komt in beeld, de bankzaken blijven apart

De politie heeft ARTEX genoemd als een van de gebruikte hulpmiddelen. Het is een autonoom systeem voor penetratietests dat aanvalsstappen kan uitvoeren met AI-agenten. In eerdere berichtgeving stonden ARTEX-tekstsporen op servers rond aanvallen op zeven Zuid-Koreaanse financiële instellingen met 68.000 getroffenen centraal. Toen onderzocht de politie nog of ARTEX was gebruikt.

Dezelfde ARTEX-tool duikt in beide dossiers op, maar dat maakt de aanvallers niet automatisch dezelfde groep. Seoul Economic Daily meldt dat de politie geen verband heeft vastgesteld tussen de huidige groep en de eerdere aanval op financiële instellingen. Hetzelfde verslag zegt dat een intern AI-systeem circa 530.000 stukken onderzoeksinformatie analyseerde om verdachten te vinden. De nieuwe arrestaties lossen dus de attributievraag rond de bankaanvallen niet op. De gemelde aanwijzingen uit die eerdere zaken betroffen andere servers en digitale sporen.

Een andere aanval gebruikt hetzelfde raamwerk

Ook Microsoft beschreef ARTEX in een afzonderlijke cybercampagne. Het bedrijf schrijft dat de groep Storm-0940 het systeem gebruikte bij aanvallen op organisaties in meerdere landen. De tool versnelde de inlogpogingen na de ConnectWise-inbraak. Microsoft telde pogingen bij meer dan 2.250 Microsoft 365-tenants. Het waarschuwde dat een getroffen app of succesvolle aanmelding op zichzelf niet bewijst dat klantdata is bekeken of gekopieerd. Microsofts analyse van de ARTEX-aanvallen via ConnectWise en de 2.250 benaderde tenants beschrijft een andere actor en een andere aanvalsketen.

Die campagne en de Zuid-Koreaanse afpersingszaak zijn niet aan elkaar gekoppeld. De ConnectWise-zaak liet zien hoe een gecompromitteerde zakelijke toepassing toegang tot klantomgevingen kan geven; de gemelde 2.250 tenantpogingen waren geen telling van bevestigde datadiefstal. In Zuid-Korea gaat het volgens de politie wel om daadwerkelijk gekopieerde persoonsgegevens en interne stukken. Hetzelfde raamwerk kan dus in verschillende aanvalsketens voorkomen, met andere doelwitten en bewijsniveaus.

Omvang en buit blijven onderwerp van onderzoek

Newsis meldt dat de hoofdverdachte op 15 oktober werd aangehouden, twee dagen later vastgezet en op 23 oktober aan de aanklagers overgedragen. De groep eiste 360 miljoen won van 38 bedrijven, waarvan één organisatie 300.000 won betaalde; de zes andere verdachten worden zonder hechtenis onderzocht.

De 8,2 miljoen records zijn de omvang die de politie aan de vermoedelijke campagne toeschrijft; de berichtgeving presenteert geen onafhankelijk gecontroleerde eindtelling. ChosunBiz schrijft dat de politie gestolen persoonsgegevens op in beslag genomen apparatuur terugvond, maar dat nog wordt onderzocht of de gegevens ook op het dark web zijn verspreid.

De politie koppelt ARTEX nu expliciet aan de groep die persoonsgegevens van tientallen organisaties stal, maar zegt geen verband te hebben vastgesteld met de eerdere bankaanvallen. En hoewel de hoofdverdachte eerder pentests uitvoerde, versnelde AI de campagne tot zestig bedrijven in 44 dagen. Voor Nederlandse organisaties met klant- of personeelsdata ligt de praktische vraag eerder in de aanvalsketen. Hoe snel worden herhaalde verkenning en geautomatiseerde pogingen zichtbaar, voordat een dreigbericht de eerste bevestiging wordt?