韩国金融监督院把未经本人身份核验的信息查询、访问控制缺失、已知漏洞未修补而长期搁置的系统,列为此次金融业黑客攻击的漏洞类型。三者都与密码强度无关。围绕2026年10月初发生的这起事故,安全业界和金融当局认为攻击中使用了AI智能体。
AI智能体是一种只要接到目标,就能自行拆分任务并执行到底,不需要人逐步下达指令的程序。把它投入入侵检测、配置检查或模拟渗透,能顶几个人的工作量。随着此次事件,有人指出这种性质可以被挪用到攻击一侧。检查工具和入侵工具共用同一套代码,分岔点在于由谁输入什么目标。
绕开主服务器和核心服务器的员工用系统、非重要业务系统,以及绕过认证的迂回路径被用作入侵通道。金融公司的安全预算往往集中在对外暴露较多的区段,而其外部的公司内部门户或辅助业务网检查周期较长。自动化攻击就钻这种长周期的空子。
这不是扩大防御预算就能填上的缝隙。
韩国科学技术院(KAIST)信息保护研究生院教授金容大表示,使用AI智能体会让黑客攻击变快,智能体会自行学习并造出攻击方法,一名攻击者能同时处理的漏洞范围也会扩大。这是关于技术一般情况的看法,其中没有直接分析此次事故得出的结论。此前的设计建立在攻击者的时间和人力有限这一前提之上。
经过此次事件,还流传着一种说法,一名黑客需要一年才能完成的入侵和信息窃取,AI智能体一天就能做完。这一数字没有公开比较条件和推算依据,难以直接采信。金融监督院也只停留在把利用AI智能体的大规模自动化攻击可能性作为推测阶段来提及的程度。
金融委员长李亿源就此事作了公开发言,国会方面出现了要求把银行行长叫来的声音。金融业部分人士谈到了用AI来阻挡攻击的对策。攻击一侧运行自主智能体,而防御一侧被绑在人的工作时间上,检测与阻断之间的时间差只会拉大。与此同时还有说法称,大型银行历年来每年投入数百亿韩元规模的安全投资。
看待受害范围的框架在金融业内部也有分歧。有人把它限定为多家银行遭受的金融事故,也有人把韩国电力公社和TVING一并放在同一条线上,视为基干网络事件。从当局确认这两条线是否为同一手法的时点起,监管讨论的范围也会随之变化。
在柜台查询客户信息时会再弹出一次本人身份核验窗口,进入公司内部门户时会再问一次权限。因嫌麻烦的投诉而被撤掉的那些程序,这次成了通道。比扩大预算更急的,是定下要在哪些界面上恢复那些程序。
