Cơ quan Giám sát Tài chính (금융감독원) đã nêu các dạng lỗ hổng của vụ tấn công vào ngành tài chính lần này là việc tra cứu thông tin không qua xác thực danh tính, thiếu kiểm soát truy cập, và hệ thống bị bỏ mặc mà không xử lý những lỗ hổng đã được biết đến. Cả ba đều không liên quan đến độ mạnh của mật khẩu. Về sự cố xảy ra vào đầu tháng 10 năm 2026 này, giới an ninh và cơ quan quản lý tài chính cho rằng tác nhân AI đã được sử dụng trong cuộc tấn công.
Tác nhân AI là chương trình chỉ cần nhận mục tiêu là tự chia nhỏ việc phải làm và thực hiện, dù con người không chỉ thị ở từng bước. Khi được đưa vào phát hiện xâm nhập, kiểm tra cấu hình hay thử nghiệm xâm nhập, nó làm được phần việc của vài người. Ý kiến cho rằng tính chất đó có thể bị chuyển dụng sang phía tấn công đã được nêu ra cùng với vụ việc lần này. Công cụ kiểm tra và công cụ xâm nhập dùng chung cùng một mã, và điểm phân nhánh nằm ở việc ai nhập mục tiêu nào.
Tránh máy chủ chính và máy chủ cốt lõi, hệ thống dành cho nhân viên, hệ thống nghiệp vụ không quan trọng và đường vòng né xác thực đã được dùng làm lối xâm nhập. Ngân sách an ninh của các công ty tài chính có khuynh hướng dồn vào những khu vực phơi ra bên ngoài nhiều, còn cổng nội bộ hay mạng nghiệp vụ phụ trợ ở bên ngoài khu vực đó có chu kỳ kiểm tra dài. Cuộc tấn công tự động hóa khoét vào chu kỳ dài đó.
Đây không phải khe hở được lấp bằng cách tăng ngân sách phòng thủ.
Giáo sư Kim Yong-dae (김용대) của Trường Cao học Bảo mật Thông tin KAIST nói rằng khi dùng tác nhân AI thì việc tấn công nhanh hơn, tác nhân tự học rồi tạo ra phương pháp tấn công, và phạm vi lỗ hổng mà một kẻ tấn công có thể xử lý đồng thời trở nên rộng hơn. Đây là ý kiến về công nghệ nói chung, thiếu đi kết luận từ việc phân tích trực tiếp sự cố lần này. Thiết kế trước đây được dựng lên dựa vào tiền đề rằng thời gian và nhân lực của kẻ tấn công là hữu hạn.
Lập luận rằng việc xâm nhập và đánh cắp thông tin mà một hacker phải mất một năm thì tác nhân AI kết thúc trong một ngày cũng lan đi qua vụ việc lần này. Đây là con số chưa công khai điều kiện so sánh và căn cứ tính toán, nên khó tiếp nhận nguyên như vậy. Cơ quan Giám sát Tài chính cũng chỉ dừng ở mức đề cập khả năng tấn công tự động hóa hàng loạt bằng tác nhân AI như một giai đoạn phỏng định.
Chủ tịch Ủy ban Tài chính Lee Eok-won (이억원) đã phát biểu công khai về vụ việc này, và tại Quốc hội đã có yêu cầu triệu tập các chủ tịch ngân hàng. Trong một bộ phận ngành tài chính, biện pháp đối phó chặn tấn công bằng AI đang được bàn tới. Phía tấn công cho chạy tác nhân tự hành, còn nếu phía phòng thủ bị ràng buộc vào giờ làm việc của con người thì khoảng cách thời gian giữa phát hiện và ngăn chặn chỉ càng rộng ra. Cùng lúc có chuyện các ngân hàng lớn đã đầu tư an ninh ở mức hàng chục tỷ won mỗi năm.
Khung nhìn về phạm vi thiệt hại cũng chia ra trong ngành tài chính. Có phía giới hạn đây là sự cố tài chính mà nhiều nơi trong giới ngân hàng hứng chịu, và có phía đặt cả Tập đoàn Điện lực Hàn Quốc (한국전력) và TVING (티빙) lên cùng một tuyến để xem đây là vụ việc của hạ tầng mạng trọng yếu. Từ thời điểm cơ quan chức năng xác nhận hai nhánh này có cùng một thủ pháp hay không, phạm vi thảo luận về quy chế cũng thay đổi.
Khi tra cứu thông tin khách hàng tại quầy, cửa sổ xác thực danh tính hiện lên thêm một lần, và khi vào cổng nội bộ thì quyền hạn được hỏi lại. Những thủ tục từng bị dỡ bỏ trước sức ép của các khiếu nại cho rằng rườm rà lần này đã thành lối đi. So với việc tăng ngân sách, việc quyết định làm sống lại thủ tục đó ở màn hình nào đã trở nên gấp hơn.
