ARTEX contro la finanza coreana: l’AI pentest diventa arma per esfiltrare dati e rivenderli

Una recente campagna di cyber attacchi contro organizzazioni finanziarie della Corea del Sud ha mostrato come gli strumenti di penetration testing basati su intelligenza artificiale possano essere riutilizzati per il furto di dati. Gli aggressori hanno impiegato ARTEX, un tool di AI pentesting di tipo agentic, insieme a modelli linguistici di grandi dimensioni per accelerare attivita tipiche di ricognizione, ricerca di vulnerabilita e automazione operativa, fino all esfiltrazione di informazioni.

L attivita e stata osservata tra fine settembre e inizio ottobre 2026 e ha portato a data exfiltration da piu realta del settore finanziario. Un elemento chiave dell indagine e stata l individuazione di directory esposte su un indirizzo IP connesso a Hong Kong, dove risultavano accessibili dati operativi come cronologie di sessione, file di memoria e configurazioni legate a ARTEX. Questo tipo di esposizione evidenzia un rischio spesso sottovalutato nella sicurezza informatica, ovvero la presenza di asset pubblici mal configurati che possono rivelare workflow, strumenti e tracce delle attivita malevole.

Dalle analisi emerge una architettura a due server. Un server connesso a Hong Kong avrebbe svolto il ruolo di infrastruttura centrale della campagna, mentre un secondo indirizzo IP avrebbe ospitato una istanza ARTEX ritenuta direttamente coinvolta negli attacchi verso target coreani. Sul piano tecnico, l istanza avrebbe utilizzato un backend LLM principale e altri modelli come supporto, sfruttando anche canali di accesso indiretti tramite servizi di rivendita di API. Questo approccio multi modello consente agli attaccanti di ottimizzare costi, prestazioni e resilienza, cambiando provider o modello quando necessario.

L attribuzione non e stata collegata a gruppi noti, ma alcuni indizi suggeriscono un operatore di lingua cinese motivato dal profitto. In parallelo alle operazioni con ARTEX, l attore avrebbe cercato indicazioni su dove vendere dati di violazioni in Corea del Sud e su gruppi Telegram dedicati alla compravendita di dati, segnalando un chiaro obiettivo di monetizzazione.

Le conseguenze sono state immediate anche sul fronte istituzionale, con avvisi alle persone e alle aziende per aumentare la vigilanza contro phishing e truffe legate a prestiti, spesso favorite dalla diffusione di dati sottratti. Il caso dimostra come l unione tra AI agentic e strumenti di automazione possa aumentare la velocita e la scala degli attacchi, rendendo ancora piu importante la protezione di infrastrutture, log e configurazioni esposte.