Südkoreas Banken stehen vor einer neuen Cyberbedrohung
Eine Reihe von Cyberangriffen auf südkoreanische Finanzinstitute wirft eine beunruhigende Frage auf:
Was passiert, wenn künstliche Intelligenz Hackern dabei helfen kann, Schwachstellen schneller zu finden und auszunutzen, als Menschen es allein könnten?
Südkoreanische Behörden untersuchen derzeit eine Reihe von Angriffen auf Banken und andere Finanzinstitute, die sich zwischen Ende September und Anfang Oktober 2026 ereigneten. Bei mehreren Institutionen wurden Kundendaten offengelegt, darunter bei Shinhan Bank, KB Kookmin Bank und Hana Bank.
Besonders beunruhigend wurde die Situation, nachdem Ermittler Hinweise darauf fanden, dass KI-gestützte Werkzeuge bei der Suche nach Schwachstellen und bei den Angriffen eingesetzt worden sein könnten. Südkoreas Präsident Lee Jae Myung erklärte, es gebe Anzeichen für den Einsatz von KI bei einigen Angriffen und forderte eine dringende Untersuchung.
Die Vorfälle werden inzwischen weit über Südkorea hinaus beobachtet, da sie möglicherweise einen wichtigen Wandel in der Durchführung von Cyberangriffen auf Finanzinstitute darstellen.
Was geschah bei den Hackerangriffen auf südkoreanische Banken?
Die Angriffe beschränkten sich nicht auf ein einziges Finanzinstitut.
Mehrere südkoreanische Finanzunternehmen meldeten innerhalb kurzer Zeit Sicherheitsvorfälle.
Zu den betroffenen oder angegriffenen Unternehmen gehörten:
- Shinhan Bank
- KB Kookmin Bank
- Hana Bank
- Yegaram Savings Bank
- BNK Busan Bank
- Welcome Savings Bank
- Hyundai Capital
Auch andere große Banken wie Woori Bank und NH NongHyup Bank stellten versuchte Eindringversuche fest, konnten diese jedoch blockieren, ohne vergleichbare Datenlecks zu bestätigen.
Die Größe der Vorfälle war unterschiedlich.
Die Shinhan Bank teilte mit, dass Informationen von rund 25.000 Kunden offengelegt worden seien. Bei KB Kookmin Bank waren 119 Kunden betroffen, bei Hana Bank 89. Weitere Finanzinstitute meldeten ebenfalls Vorfälle. Insgesamt geht es nach bisherigen Berichten um Zehntausende betroffene Personen.
Wichtig ist jedoch: Bisher gibt es keine Hinweise darauf, dass bei diesen Vorfällen in großem Umfang Geld direkt von Kundenkonten gestohlen wurde.
Das Hauptproblem ist bislang die Offenlegung von persönlichen und finanziellen Informationen.
Welche Kundendaten wurden offengelegt?
Zu den möglicherweise betroffenen Informationen gehörten unter anderem:
- Namen
- Telefonnummern
- Adressen
- Jahreseinkommen
- Kreditinformationen oder Kreditlimits
- weitere persönliche Identifikationsdaten
Im Fall der Shinhan Bank sollen die Angreifer auf ein System zugegriffen haben, das von Kreditvermittlern genutzt wurde, um den Bearbeitungsstatus von Kreditanträgen zu überprüfen.
Diese Unterscheidung ist wichtig.
Eine Bank kann ihre zentralen Banksysteme sehr gut schützen und trotzdem über einen kleineren externen Dienst angreifbar sein.
Genau das macht die aktuellen Vorfälle so relevant.
Die Schwachstelle könnte außerhalb der Bank liegen
Eine der wichtigsten Erkenntnisse aus den Angriffen ist, dass Hacker nicht unbedingt direkt in die zentralen Systeme einer Bank eindringen müssen.
Stattdessen können sie nach Schwachstellen suchen in:
- Systemen von Drittanbietern
- Plattformen von Auftragnehmern
- externen Websites
- Kreditportalen
- Supportsystemen
- älteren Anwendungen
- internetfähigen Diensten
In einem der gemeldeten Fälle sollen Angreifer die Authentifizierung eines von Finanzvermittlern genutzten Portals umgangen haben.
Andere Vorfälle betrafen Support- oder ausgelagerte Systeme.
Das stellt Banken vor eine große Herausforderung.
Je mehr digitale Verbindungen ein Finanzinstitut besitzt, desto größer wird auch seine potenzielle Angriffsfläche.
Wie wurde KI eingesetzt?
Das ist der wichtigste Teil der Geschichte.
Nach Angaben von Cybersicherheitsforschern fanden Ermittler Hinweise auf eine Verbindung zwischen den Angriffen und ARTEX, einem Open-Source-Tool für KI-gestützte Penetrationstests, das in China entwickelt wurde.
ARTEX ist kein gewöhnlicher Chatbot.
Das Tool wurde entwickelt, um Teile von Penetrationstests zu automatisieren. Dazu gehören unter anderem die Suche nach Schwachstellen und die Entwicklung möglicher Angriffspfade.
Bei legitimer Nutzung können solche Werkzeuge Sicherheitsexperten dabei helfen, Schwachstellen zu erkennen, bevor Kriminelle sie entdecken.
Problematisch wird es, wenn dieselben Fähigkeiten ohne Erlaubnis gegen fremde Systeme eingesetzt werden.
Genau das untersuchen die südkoreanischen Behörden derzeit.
KI könnte Hacker deutlich schneller machen
Herkömmliche Cyberangriffe können umfangreiche technische Kenntnisse erfordern.
Ein Angreifer muss möglicherweise:
- ein Ziel auswählen,
- dessen Systeme untersuchen,
- Schwachstellen identifizieren,
- mögliche Angriffsmethoden recherchieren,
- Code schreiben oder anpassen,
- den Angriff testen,
- die Vorgehensweise bei Fehlern verändern,
- und den Prozess bei weiteren Zielen wiederholen.
KI-Agenten können Teile dieses Prozesses möglicherweise automatisieren oder beschleunigen.
Anstatt jedes System manuell zu untersuchen, kann ein KI-gestütztes Werkzeug große Mengen technischer Informationen analysieren und mögliche Angriffspfade vorschlagen.
Das bedeutet nicht, dass KI automatisch jedes System hacken kann.
Starke Sicherheitskontrollen können Angriffe weiterhin verhindern.
KI kann jedoch möglicherweise den Zeitaufwand und das technische Wissen reduzieren, die für bestimmte Formen der Aufklärung und Schwachstellensuche erforderlich sind.
Warum die Entdeckung von ARTEX so wichtig ist
CrowdStrike berichtete, dass der Angreifer ARTEX zusammen mit großen Sprachmodellen während der Kampagne gegen südkoreanische Finanzunternehmen eingesetzt habe.
Die Analyse fand Hinweise auf Claude-Code-Sitzungen, ARTEX-Konfigurationsdateien und zugehörige Infrastruktur.
CrowdStrike bewertete mit mittlerer Sicherheit, dass der Angreifer wahrscheinlich chinesischsprachig und finanziell motiviert war.
Die Sicherheitsfirma fand außerdem Hinweise darauf, dass während der Operation mehrere KI-Modelle eingesetzt wurden.
Das bedeutet jedoch nicht, dass eines dieser KI-Unternehmen oder deren Modelle für die Angriffe verantwortlich war.
Nach bisherigen Erkenntnissen handelt es sich vielmehr um einen menschlichen Angreifer, der öffentlich oder kommerziell verfügbare KI-Technologien als Werkzeuge genutzt haben könnte.
Steckt China hinter den Angriffen?
Hier ist besondere Vorsicht wichtig.
CrowdStrike bewertete den Angreifer unter anderem aufgrund chinesischsprachiger Eingaben und der Nutzung eines in China entwickelten Tools als wahrscheinlich chinesischsprachig und finanziell motiviert.
Spätere Berichte verwiesen außerdem auf technische Infrastruktur und persönliche Informationen, die möglicherweise auf eine Person in der chinesischen Provinz Guangdong hindeuten.
Der Angreifer wurde jedoch noch nicht eindeutig identifiziert.
Ebenso gibt es derzeit keinen bestätigten Beweis dafür, dass die chinesische Regierung die Angriffe angeordnet oder durchgeführt hat.
Chinesische Behörden haben erklärt, dass China Cyberangriffe ablehnt und gegen Hackeraktivitäten vorgeht.
Daher wäre es derzeit nicht gerechtfertigt, die Vorfälle als bestätigten staatlich unterstützten chinesischen Cyberangriff zu bezeichnen.
Der Angreifer könnte vor allem finanziell motiviert gewesen sein
Es gibt Hinweise darauf, dass die Motivation möglicherweise eher finanzieller als politischer Natur war.
CrowdStrike fand Hinweise darauf, dass der Angreifer ein KI-System nach Orten gefragt haben soll, an denen gestohlene koreanische Daten verkauft werden könnten, darunter Märkte auf Telegram.
Dies deutet darauf hin, dass die gestohlenen Informationen möglicherweise als Ware betrachtet wurden.
Das schafft ein weiteres ernstes Risiko.
Selbst wenn Hacker kein Geld direkt von Bankkonten stehlen, können persönliche Daten später verwendet werden für:
- Phishing
- Telefonbetrug
- Identitätsdiebstahl
- gefälschte Kreditangebote
- Kontoübernahmen
- Social Engineering
- gezielte Finanzbetrugsversuche
Südkorea warnt bereits vor Folge-Betrug
Die südkoreanischen Finanzbehörden haben Verbraucher ausdrücklich vor möglichen Folgeangriffen nach den Datenlecks gewarnt.
Die Financial Services Commission und die Financial Supervisory Service veröffentlichten am 6. Oktober eine Verbraucherwarnung und starteten eine spezielle Reaktionsphase.
Die Behörden warnten davor, dass Kriminelle die gestohlenen persönlichen Daten kombinieren könnten, um besonders überzeugende Betrugsversuche zu erstellen.
Ein Betrüger, der beispielsweise den Namen, die Telefonnummer, das Einkommen und Informationen über einen Kredit kennt, könnte bei einem Anruf deutlich glaubwürdiger wirken als bei einem gewöhnlichen Phishing-Versuch.
Deshalb können Datenlecks noch lange nach dem eigentlichen Hackerangriff gefährlich bleiben.
Warum verändert KI die Bedrohung?
Das größte Problem ist nicht unbedingt, dass KI eine völlig neue Art des Hackings ermöglicht.
Vielmehr kann KI bestehende Angriffsmethoden schneller, günstiger und leichter skalierbar machen.
Ein einzelner erfahrener Angreifer könnte KI möglicherweise nutzen, um gleichzeitig mehrere Ziele zu untersuchen.
CrowdStrike erklärte, der Fall zeige, wie ein einzelner menschlicher Angreifer KI-Agenten einsetzen könne, um innerhalb kurzer Zeit mehrere Kunden beziehungsweise Organisationen anzugreifen.
Das verändert die wirtschaftlichen Bedingungen von Cyberkriminalität.
Wenn bestimmte Angriffe stärker automatisiert werden können, benötigen Kriminelle möglicherweise keine großen Teams mehr, um Kampagnen durchzuführen, die früher erhebliche technische Ressourcen erfordert hätten.
KI könnte gleichzeitig die beste Verteidigung werden
Es gibt jedoch auch eine wichtige Gegenperspektive.
Dieselbe Technologie, die Angreifern helfen kann, kann auch zur Verteidigung eingesetzt werden.
KI kann Banken beispielsweise dabei helfen:
- ungewöhnliche Login-Muster zu erkennen,
- verdächtige Netzwerkaktivitäten zu identifizieren,
- große Mengen an Sicherheitsdaten zu überwachen,
- ungewöhnliche Transaktionen zu erkennen,
- Phishing-Kampagnen aufzuspüren,
- Schwachstellen zu finden,
- Bedrohungen schneller zu erkennen,
- und auf verdächtige Aktivitäten automatisch zu reagieren.
Südkoreanische Finanzbehörden haben deshalb auch eine stärkere Nutzung KI-basierter Cybersicherheit gefordert.
Die Zukunft der Cybersicherheit könnte somit zu einem Wettbewerb zwischen KI-gestützten Angreifern und KI-gestützten Verteidigern werden.
Warum selbst gut geschützte Banken gefährdet sein können
Ein überraschender Aspekt der Hackerangriffe auf südkoreanische Banken ist, dass einige der betroffenen Institute über starke Sicherheitsstandards verfügen.
Die Shinhan Bank erhielt beispielsweise wiederholt gute Bewertungen beim Schutz persönlicher Kreditinformationen.
Dennoch sollen Angreifer eine Schwachstelle in einem extern zugänglichen Dienst gefunden haben, der von Finanzvermittlern genutzt wurde.
Das verdeutlicht ein grundlegendes Prinzip der Cybersicherheit:
Ein gut geschütztes Kernsystem bedeutet nicht automatisch, dass jedes angeschlossene System sicher ist.
Banken sind zunehmend auf Netzwerke aus folgenden Akteuren angewiesen:
- Fintech-Unternehmen
- Kreditvermittlern
- Cloud-Anbietern
- Softwareunternehmen
- Auftragnehmern
- Zahlungsdienstleistern
- Kundenservice-Plattformen
Jede dieser Verbindungen kann potenziell einen weiteren Zugangspunkt schaffen.
Südkorea verstärkt seine Reaktion auf Cyberangriffe
Die Behörden haben nach Bekanntwerden der Angriffe schnell reagiert.
Die Finanzaufsicht teilte Informationen über verdächtige IP-Adressen mit Finanzinstituten. Nach Bereinigung von Duplikaten wurden 28 eindeutige IP-Adressen identifiziert, die mit jüngsten Hackerangriffen in Verbindung standen.
Die Regierung richtete außerdem eine Notfallstruktur ein und forderte Finanzunternehmen auf, extern zugängliche Systeme zu überprüfen.
Auch Cloud-Anbieter wurden aufgefordert, bei der Blockierung verdächtiger Aktivitäten aus dem Ausland zu helfen.
Die polizeilichen Ermittlungen dauern an.
Könnte so etwas auch in anderen Ländern passieren?
Ja.
Die zugrunde liegende Schwachstelle ist nicht auf Südkorea beschränkt.
Banken weltweit sind zunehmend auf miteinander verbundene digitale Infrastrukturen angewiesen.
Das bedeutet, dass ein Angreifer nicht unbedingt das am besten geschützte System einer großen Bank überwinden muss.
Er könnte stattdessen nach einer schwächeren verbundenen Anwendung suchen.
Der Einsatz von KI-gestützten Angriffen stellt deshalb eine globale Herausforderung für die Cybersicherheit dar.
Das größere Problem: KI senkt die Hürden für Cyberkriminalität
Fortgeschrittenes Hacking erforderte lange Zeit umfangreiche technische Kenntnisse.
KI beseitigt diese Anforderungen nicht vollständig, könnte aber den für bestimmte Aufgaben erforderlichen Spezialkenntnisstand reduzieren.
Ein Angreifer kann beispielsweise ein KI-System nutzen, um unbekannte Technologien zu verstehen, Code zu analysieren, mögliche Schwachstellen zu identifizieren oder wiederkehrende Aufgaben zu automatisieren.
Dadurch könnten Sicherheitsteams künftig mit Angreifern konfrontiert werden, die weniger Erfahrung besitzen, aber leistungsfähige KI-Assistenten einsetzen können.
Das könnte die Zahl potenzieller Angreifer erheblich erhöhen.
Was sollten Banken jetzt tun?
Die Vorfälle in Südkorea liefern mehrere wichtige Lehren für Finanzinstitute weltweit.
1. Jedes internetfähige System absichern
Banken sollten sich nicht ausschließlich auf ihre zentralen Banksysteme konzentrieren.
Externe Portale, APIs, Systeme von Auftragnehmern und Support-Anwendungen benötigen ebenfalls einen starken Schutz.
2. Sicherheit von Drittanbietern verbessern
Eine Bank kann über hervorragende interne Sicherheitsmaßnahmen verfügen und trotzdem über einen unsicheren Dienstleister angegriffen werden.
Das Management von Risiken durch Drittanbieter wird daher immer wichtiger.
3. KI zur Verteidigung einsetzen
KI-basierte Überwachung kann Sicherheitsteams helfen, ungewöhnliches Verhalten schneller zu erkennen und große Mengen an Sicherheitsdaten effizienter zu analysieren.
4. Zugriffsrechte reduzieren
Systeme sollten nach dem Prinzip der geringsten notwendigen Berechtigung arbeiten. Ein kompromittiertes Konto sollte nicht automatisch Zugriff auf sensible Daten ermöglichen.
5. Ungewöhnliche Anmeldeaktivitäten überwachen
Wiederholte fehlgeschlagene Anmeldungen, ungewöhnliche Standorte und unerwartete Zugriffe können frühe Warnsignale sein.
6. Auf automatisierte Angriffe vorbereitet sein
Sicherheitsteams sollten davon ausgehen, dass Angreifer KI einsetzen könnten, um Aufklärung und Schwachstellensuche zu beschleunigen.
7. Kunden nach einem Datenleck schützen
Banken sollten betroffene Kunden schnell vor Phishing, Identitätsbetrug und gefälschten Kreditangeboten warnen.
Was bedeutet das für normale Bankkunden?
Die wichtigste Botschaft für Kunden lautet zunächst: Kein Grund zur Panik.
Es gibt derzeit keine Hinweise darauf, dass das gesamte südkoreanische Bankensystem zusammengebrochen ist oder dass die Kontoguthaben der Kunden automatisch gefährdet sind.
Das größere Risiko besteht im möglichen Missbrauch persönlicher Daten.
Kunden sollten besonders vorsichtig bei unerwarteten Nachrichten oder Anrufen sein, die angeblich von folgenden Stellen stammen:
- Banken
- Kreditunternehmen
- Behörden
- Polizei
- Finanzaufsichten
- Lieferdiensten
Ein Anrufer, der bereits persönliche Informationen kennt, kann besonders überzeugend wirken.
Das bedeutet jedoch nicht, dass der Anrufer seriös ist.
Die Zukunft von KI und Cybersicherheit
Die Hackerangriffe auf südkoreanische Banken könnten sich zu einem wichtigen Fallbeispiel für die Entwicklung KI-gestützter Cyberkriminalität entwickeln.
Die Technologie befindet sich noch in einer frühen Entwicklungsphase.
Heute kann KI Angreifern möglicherweise dabei helfen, Schwachstellen zu entdecken und Teile eines Angriffs zu automatisieren.
In Zukunft könnten immer autonomere Systeme möglicherweise Aufklärung, Ausnutzung von Schwachstellen und weitere Angriffsschritte mit deutlich weniger menschlicher Beteiligung koordinieren.
Diese Möglichkeit zwingt Regierungen und Unternehmen dazu, Cybersicherheit neu zu denken.
Das traditionelle Modell, Netzwerke ausschließlich gegen menschliche Hacker zu schützen, könnte künftig nicht mehr ausreichen.
Könnte KI einen neuen Wettlauf bei der Cybersicherheit auslösen?
Sehr wahrscheinlich.
Angreifer setzen KI ein, weil sie dadurch schneller und effizienter werden können.
Verteidiger tun dasselbe.
Dadurch könnte ein kontinuierlicher Kreislauf entstehen:
KI-gestützte Angriffe → stärkere KI-Verteidigung → ausgefeiltere KI-Angriffe → noch fortschrittlichere KI-Verteidigung.
Organisationen, die sich am schnellsten anpassen, könnten einen erheblichen Vorteil erhalten.
Für Finanzinstitute ist besonders viel auf dem Spiel, weil Banken nicht nur Geld verwalten, sondern auch enorme Mengen persönlicher und finanzieller Daten speichern.
Häufig gestellte Fragen
Was ist bei den Hackerangriffen auf südkoreanische Banken passiert?
Mehrere südkoreanische Banken und Finanzinstitute waren zwischen Ende September und Anfang Oktober 2026 Ziel von Cyberangriffen. Bei einigen Instituten wurden Kundendaten offengelegt, während andere versuchte Angriffe erkennen und blockieren konnten.
Wurde KI für die Angriffe auf südkoreanische Banken eingesetzt?
Ermittler fanden Hinweise darauf, dass KI-gestützte Werkzeuge bei einigen Angriffen eingesetzt wurden. CrowdStrike berichtete insbesondere über Hinweise auf die Nutzung von ARTEX zusammen mit großen Sprachmodellen.
Was ist ARTEX?
ARTEX ist ein Open-Source-Tool für agentenbasierte Penetrationstests. Es wurde entwickelt, um Teile von Sicherheitstests zu automatisieren. Ermittler gehen davon aus, dass es bei Angriffen auf südkoreanische Finanzunternehmen missbraucht wurde.
Wie viele Menschen waren betroffen?
Nach bisherigen Berichten sind insgesamt Zehntausende Menschen von den verschiedenen Vorfällen betroffen. Allein die Shinhan Bank meldete rund 25.000 betroffene Kunden. Das genaue Ausmaß wird noch untersucht.
Wurde Geld von Kunden gestohlen?
Es gibt bislang keine Berichte über einen groß angelegten Diebstahl von Kundengeldern im Zusammenhang mit diesen Datenlecks. Die wichtigste bestätigte Sorge betrifft die Offenlegung persönlicher und finanzieller Informationen.
Ist China nachweislich für die Angriffe verantwortlich?
Nein. CrowdStrike bewertete den Angreifer als wahrscheinlich chinesischsprachig und finanziell motiviert. Die Person wurde jedoch nicht eindeutig identifiziert. Es gibt außerdem keinen bestätigten Beweis dafür, dass die chinesische Regierung die Angriffe angeordnet hat.
Warum sind diese Angriffe weltweit wichtig?
Sie zeigen, wie KI-Agenten Angreifern möglicherweise dabei helfen können, Teile von Cyberangriffen zu automatisieren oder zu beschleunigen. Dadurch könnten komplexe Angriffe schneller und in größerem Umfang durchgeführt werden.
Fazit
Die Hackerangriffe auf südkoreanische Banken sind mehr als nur ein weiterer Fall von Datenklau.
Sie zeigen eine grundlegende Veränderung in der Cybersicherheit.
Künstliche Intelligenz ist nicht mehr nur ein Werkzeug zur Verteidigung von Computersystemen. Sie kann auch für Angriffe eingesetzt werden.
Die jüngsten Vorfälle zeigen, wie ein Angreifer KI-Agenten, große Sprachmodelle und traditionelle Hacking-Techniken kombinieren kann, um Schwachstellen bei mehreren Finanzinstituten zu suchen.
Gleichzeitig machen die Angriffe deutlich, dass die größte Schwachstelle nicht immer im zentralen Banksystem liegen muss. Externe Portale, Auftragnehmer, Drittanbieter und andere verbundene Plattformen können alternative Zugänge zu sensiblen Systemen bieten.
Die Ermittlungen laufen noch, und wichtige Fragen zur Identität des Angreifers, zum vollständigen Ausmaß der Datenlecks und zur genauen Rolle der KI sind weiterhin offen.
Eine Erkenntnis zeichnet sich jedoch bereits ab:
Je schneller KI Cyberangriffe macht, desto intelligenter, automatisierter und widerstandsfähiger müssen auch die Verteidigungsmaßnahmen der Finanzinstitute werden.
Die Zukunft der Banksicherheit könnte letztlich davon abhängen, welche Seite KI effektiver einsetzen kann – der Angreifer oder der Verteidiger.
