ARTEX ist ein quelloffenes, agentenbasiertes Penetrationstest-Tool. Am 7. Oktober 2026 veröffentlichte das US-Sicherheitsunternehmen CrowdStrike einen Untersuchungsbericht: Von Ende September bis Anfang Oktober 2026 griff ein Angreifer mit ARTEX und mehreren großen Sprachmodellen gezielt mehrere südkoreanische Finanzinstitute an und entwendete Daten. Reuters berichtete am 8. Oktober, dass mindestens neun Banken Angriffe offengelegt hätten oder als Ziele gemeldet worden seien; die südkoreanische Polizei habe diese Woche Ermittlungen aufgenommen.
Die eigenen Sitzungsprotokolle des Angreifers wurden zum Durchbruch
Das Intelligence-Team von CrowdStrike fand die Spuren in offenen Verzeichnissen des Angreifers: Darin lagen Sitzungsverläufe von Claude Code, ARTEX-Konfigurationen und Memory-Dateien – die Arbeitsweise des Täters lag den Forschern damit offen vor. Laut Bericht nutzte der Angreifer zwei Server; primäres Modell-Backend war DeepSeek v4.1-flash, ergänzt in einigen Claude-Code-Sitzungen durch Zhipus GLM-5.3 und Grok 4.6. In den Sitzungen fragte der Täter sogar, wo gestohlene koreanische Daten üblicherweise verkauft werden, und bat um Hilfe bei der Suche nach entsprechenden Handelsgruppen.
Das Ausmaß ist noch nicht bestätigt
Nach südkoreanischen Medienberichten und Bankangaben wurden bei der Shinhan Bank persönliche Daten von rund 25.000 Kunden kompromittiert, bei der KB Kookmin Bank waren es 119 Kunden. Betroffen waren ein Abfragedienst zum Kreditfortschritt für Finanzvermittler und ein mobiles Arbeitssystem für Mitarbeiter. CrowdStrike hielt ausdrücklich fest, dass die genaue Zahl der betroffenen Institute noch unbestätigt ist. Präsident Lee Jae Myung forderte robustere Cybersicherheitsmaßnahmen.
Warum die Finanzbranche aufhorchen sollte
CrowdStrikes Täterprofil ist eine Einschätzung mit mittlerer Sicherheit: vermutlich chinesischsprachig und finanziell motiviert, aber keiner bekannten Gruppe zugeordnet. Reuters berichtete, persönliche Hinweise in den Sitzungsdaten deuteten auf eine möglicherweise 26-jährige Person in Guangdong hin; CrowdStrike betonte zugleich, dass die Informationen keine Identifizierung erlauben. Die eigentliche Warnung ist nicht die Stärke eines einzelnen Tools, sondern die gesunkene Schwelle: Einbrüche, für die früher ein Team im Schichtbetrieb nötig war, kann heute eine einzelne Person mit agentischen Werkzeugen vorantreiben, die Schwachstellen selbst finden und Exploit-Code schreiben – gegen mehrere Institute innerhalb von etwa zehn Tagen. Ein CrowdStrike-Manager sagte am 8. Oktober, dies sei ein Lehrbuchbeispiel dafür, wie ein einzelner Angreifer mit KI-Agenten in kürzester Zeit viele Opfer ins Visier nehme.
Banken und Finanzinstitute müssen ihre Abwehr anpassen: von deutlich schnellerem Angriffstempo ausgehen und internetexponierte Randdienste, Lieferantensysteme und mobile Mitarbeiterzugänge vorrangig prüfen. Für Privatkunden gilt in den kommenden Wochen besondere Vorsicht bei Anrufen und Nachrichten, die sich als Bank ausgeben – zuerst über offizielle Kanäle verifizieren.
