Certaines infrastructures financières sud-coréennes ont subi une série de violations de données entre la fin septembre et le début octobre 2026. Pour ce faire, l'attaquant a compromis un service de suivi de prêts pour courtiers et un système mobile de support aux employés. L'analyse de l'équipe CrowdStrike Intelligence montre que surtout l'utilisation de l'intelligence artificielle agentique pour piloter les intrusions.

Le cybercriminel s'est appuyé sur ARTEX, un outil de test d'intrusion open source développé en Chine. Cette plateforme agit comme un chef d'orchestre. Elle automatise la recherche de vulnérabilités et l'exploitation en interrogeant divers LLM. L'instance ARTEX impliquée utilisait principalement DeepSeek v4.1-flash comme moteur, complété par les modèles GLM-5.3 de Zhipu AI et Grok 4.6 via des sessions Claude Code.

« L'utilisation d'outils d'IA agentique aux côtés des capacités offensives traditionnelles met en évidence l'évolution des tactiques adverses », indique CrowdStrike Intelligence.

Reste que l'acteur malveillant a commis plusieurs erreurs. Un serveur basé à Hong Kong, identifié comme l'infrastructure principale, hébergeait des répertoires ouverts.

C'est l'analyse de ces serveurs exposés qui a permis de récupérer les traces de la campagne.

Ces traces indiquent par ailleurs selon CrowdStrike une motivation financière. Car l'attaquant a interrogé une IA pour identifier les canaux Telegram spécialisés dans la revente de bases de données sud-coréennes.

Les historiques d'échanges du pirate avec les LLM révèlent également la génération d'un curriculum vitae de chercheur en sécurité.

Le document évoque les résultats des attaques ARTEX et mentionne des informations personnelles : un âge de 26 ans, une localisation dans le Guangdong (Chine), et le pseudonyme Telegram @YY520CN. Et ce même identifiant a été observé lors d'activités de recherche de vulnérabilités visant une place de marché NFT et une plateforme de paiement chinoise.

Au delà de la mise en avant par CV de ses exploits, l'analyse de CrowdStrike montre que l'intégration de LLM par les pirates réduit grandement le temps nécessaire pour mener des campagnes offensives.