• 發布單位:TWCERT/CC
• 更新日期:2026-10-29
• 點閱次數:131

資安廠商CrowdStrike於2026年10月7日揭露一起涉及韓國金融機構的資料竊取事件，指出攻擊者疑似濫用名為ARTEX的AI輔助滲透測試工具發動攻擊。研究人員從攻擊者的公開目錄，取得ARTEX的相關設定檔與操作紀錄。發現攻擊活動涉及多種大型語言模型及代理伺服器(Proxy)，顯示攻擊者可能運用 AI 工具輔助執行攻擊作業。顯示攻擊者可能運用 AI 工具輔助執行攻擊作業。目前尚未將相關活動歸因至特定進階持續性威脅（Advanced Persistent Threat, APT）組織。

另外，依據韓國金融委員會於2026年10月16日公布的調查報告，當地共有16家金融企業發生資料外洩事件，總計涉及約10萬筆客戶資料。然而，前述事件是否皆與ARTEX攻擊活動相關，目前仍待進一步釐清。

ARTEX原為滲透測試(Penetration Testing)工具，可透過大型語言模型處理測試指令，協助執行入侵模擬及系統弱點檢測。根據 CrowdStrike 分析，2026年9月下旬至10月上旬的相關紀錄，包含AI工具Claude Code對話與記憶檔操作日誌。攻擊者主要採用DeepSeek v4.1-flash，攻擊者另在Claude Code工作階段使用GLM-5.3與Grok 4.6，顯示其可能透過不同 AI 模型協助執行攻擊作業。

此外，攻擊者以雲端主機作為操作環境相關行為可對應 MITRE ATT&CK 技術編號 T1583.003(Virtual Private Server)及T1588.007(Artificial Intelligence)。同時，攻擊者亦透過代理伺服器轉送網路流量，以增加追查來源的難度。

CrowdStrike 公布9個相關代理IP位址，建議企業回溯內部日誌時，將其納入威脅情資比對，並交叉檢視防火牆、VPN、代理伺服器及其他網路設備的連線紀錄，以及資料庫查詢與資料傳輸紀錄，以確認是否存在異常存取或資料外傳行為。

根據韓國金融委員會於2026年10月14日公布的外洩統計調查，受影響資料包含客戶姓名、聯絡資訊、電子郵件及韓國住民登錄號（相當於臺灣的身分證字號），暫無帳戶密碼或信用卡號外洩通報。主管機關亦要求業者封鎖攻擊來源、修補現存弱點，並於必要時暫停對外服務以策安全。

此外，研究人員根據攻擊者操作紀錄研判，攻擊者可能使用中文，但目前尚無足夠證據將其歸因至特定威脅組織。至於攻擊者如何取得初始存取權限、是否利用特定軟體弱點，以及相關受影響軟體版本、CVE 編號與 CVSS 嚴重度評分，現有公開資訊尚未提供明確說明。而ARTEX開發者Autumn-27雖已於2026年10月8日宣布停止更新與維護，並關閉公開原始碼，然而，工具停止維護並不代表既有攻擊活動或相關威脅已獲控制，企業仍應持續追蹤後續調查與威脅情資。

為防範類似利用AI自動化工具進行之資料探測與滲透攻擊，TWCERT/CC建議企業與組織採取以下防護措施：

1. 清查所有對外服務：盤點所有客戶查詢、員工內部使用及委外廠商連線的網站與API，確認系統維運負責人，關閉未使用的管理介面與不必要之外部入口，並儘速修補已知弱點。

2. 強化資料查詢權限與存取控制：針對涉及個人資料之查詢功能進行權限邊界測試，包含以未登入與低權限身分測試，落實伺服器端對每次請求的身分與權限檢查，嚴防越權存取漏洞。

3. 比對威脅指標（IoC）與異常行為：依表1所列之入侵指標，交叉檢視防火牆、VPN、代理伺服器及資料庫日誌，重點清查大量或異常的資料庫查詢與對外連線。若確認遭受滲透，應立即將受害主機隔離離線，並遵循數位鑑識程序完整保存日誌證據。

4. 落實事件通報與後續風險管控：若確認資料外洩或受影響客戶，應即刻盤點受影響個資範疇與受害用戶，並依適用規定通報並告知當事人，同時強化多因子驗證(MFA)，以降低後續衍生風險。

彙整相關威脅指標如下，建議企業/組織回朔期程至少涵蓋2026年9月下旬至10月上旬：

表1：ARTEX攻擊事件相關入侵指標。資料來源：CrowdStrike