Sept banques et établissements financiers sud-coréens ont signalé une fuite de données clients en l'espace de quelques jours. Shinhan Bank, KB Kookmin, Hana Bank, Busan Bank, les caisses d'épargne Yegaram et Welcome, ainsi que le prêteur Hyundai Capital ont confirmé des accès non autorisés : environ 25 000 personnes touchées chez Shinhan, près de 40 000 chez Yegaram. Le président Lee Jae-myung a ordonné une enquête complète, et le président de la Commission des services financiers, Lee Eok-won, a convoqué une réunion d'urgence.
Ce qui intrigue, c'est la méthode. Dans le code lié à l'incident Shinhan, les enquêteurs ont trouvé une chaîne en chinois évoquant une "console de pentest autonome par IA". L'outil visé serait Artex AI, un framework open source basé sur des modèles de langage, capable de scanner les failles, planifier une attaque et l'exécuter avec une intervention humaine minimale. Autrement dit, au lieu d'une équipe de pirates manœuvrant à la main, un programme apprenant de chaque échec et choisissant seul l'étape suivante a pu faire le travail.
Les attaquants ne se sont pas attaqués au cœur, bien protégé, des systèmes bancaires, mais aux plateformes périphériques — outils de support aux ventes — moins bien défendues. Ont fuité des noms, numéros de téléphone, revenus, plafonds de crédit et, parfois, des numéros d'identité nationale, de quoi rendre un appel de phishing vocal très crédible.
Les autorités choisissent leurs mots avec soin. "Nous ne pouvons pas exclure une attaque utilisant l'IA", a déclaré Lee Eok-won, sans aller jusqu'à la confirmation. La chaîne en chinois prouve seulement qu'un tel outil existe à proximité, pas qu'il a mené l'intrusion seul. Woori Bank et NongHyup ont repoussé la même vague sans perdre de données, ce qui suggère que la préparation de chaque banque a compté autant que l'outil employé.
