Die Angriffe in Kürze
Zwischen dem 1. und 5. Oktober 2026 haben sieben südkoreanische Finanzinstitute Datenlecks bestätigt; laut Korea Herald sind rund 66.000 Personen und 2.200 Unternehmensdatensätze betroffen. Die Shinhan Bank meldete den Vorfall am 1. Oktober als Erste; bis zum 5. Oktober folgten KB Kookmin, Hana, BNK Busan, Yegaram Savings, Welcome Savings und Hyundai Capital. Die Koreanische Nationalpolizei setzte 28 Ermittler in vier Teams ihrer Abteilung für Cyberterrorismus ein.
Ungewöhnlich an dieser Welle ist das vermutete Werkzeug. Bloomberg berichtete am 2. Oktober unter Berufung auf Yonhap, dass beim Angriff auf Shinhan KI-Tools vermutet werden; Forscher fanden auf zugehöriger Infrastruktur einen chinesischsprachigen Seitentitel, sinngemäß „Konsole für autonome KI-Penetrationstests“. Präsident Lee Jae Myung sprach von Anzeichen für KI-Einsatz und ordnete eine umfassende Untersuchung an.
Die Einfallstore selbst waren dagegen gewöhnlich: periphere, aus dem Internet erreichbare Anwendungen mit schwacher Authentifizierung. Genau diese Angriffsfläche soll ein Penetrationstest und Security-Audit finden, bevor es ein automatisierter Angreifer tut.
Welche Institute wurden getroffen, und was ist abgeflossen?
Die Shinhan Bank meldete den ersten Vorfall am 1. Oktober mit rund 25.700 betroffenen Kunden. In den Folgetagen meldeten KB Kookmin Bank, Hana Bank und BNK Busan Bank Vorfälle, danach die Sparbanken Yegaram und Welcome sowie der Kreditgeber Hyundai Capital. Auch die Woori Bank und die NH NongHyup Bank sollen ins Visier geraten sein, ohne bestätigten Datenabfluss.
Abgeflossen sind genau die Felder, die Betrüger schätzen: Namen und Telefonnummern zusammen mit Einkommen, Kreditlimits und teils Einwohnermeldenummern. Die Zahlen je Institut schwanken stark – manche Meldungen betrafen nur Dutzende Personen –, und lokale Berichte weichen bei den Werten pro Bank voneinander ab. Wir zitieren deshalb die Gesamtzahl, die der Korea Herald am 6. Oktober veröffentlicht hat.
Die Finanzaufsichtskommission FSC hielt eine Krisensitzung ab und wies alle Finanzunternehmen an, extern erreichbare Systeme zu prüfen, unnötige Datenexposition zu reduzieren, Authentifizierungskontrollen zu verifizieren und Bedrohungsinformationen zu teilen. Die Finanzaufsicht FSS identifizierte 28 mit den Angriffen verbundene IP-Adressen und setzte eine kurze Frist für interne Sicherheitsprüfungen.
Welche Rolle spielte KI?
Die KI-Spur beruht auf forensischen Indizien, nicht auf einer bestätigten Zuordnung. Ein Server, der dem Shinhan-Angriff zugerechnet wird, trug einen chinesischen HTML-Titel, der eine Konsole für autonome KI-Penetrationstests beschreibt. Forscher brachten ihn mit ARTEX in Verbindung, einem Open-Source-Framework, das LLM-Agenten für Aufklärung, Schwachstellensuche, Planung von Angriffspfaden, Tool-Ausführung und Exploit-Verifikation einsetzt. BleepingComputer wies am 5. Oktober darauf hin, dass die Behörden den Einsatz des Tools nicht bestätigt haben; lokale Experten gehen von einem menschlichen Operator aus, der es steuert.
Diese Nuance ist wichtig. Wahrscheinlich ist kein vollständig autonomer KI-Hacker am Werk, sondern ein kleines Team, das mit agentischen Werkzeugen viele Ziele scannt, Funde verkettet und Login-Pfade in einem Tempo testet, für das früher deutlich mehr Leute nötig waren. Dieselbe Werkzeugkategorie wird für legitimes Red Teaming verkauft und als Open Source veröffentlicht. Ihr Auftauchen auf der Angreiferseite verkürzt die Zeit zwischen „es gibt einen schwachen Endpunkt“ und „er wird ausgenutzt“.
Wie sind die Angreifer eingedrungen?
Laut Korea Times lagen die gemeldeten Einfallstore am Rand der Banken, nicht in den Kernsystemen:
- Shinhan: eine Authentifizierungsumgehung in einem Statusdienst für Kreditvermittler — einer Abfrageseite für Partner.
- KB Kookmin: auffällige externe Zugriffe auf ein Mobilsystem für Mitarbeiter.
- Hana: unbefugter Zugriff auf ein Vertriebsunterstützungssystem.
Lokale Berichte nennen außerdem Credential Stuffing — automatisierte Logins mit geleakten Passwörtern. Nichts davon erfordert neuartige Exploits. Es genügt, Hilfsanwendungen zu finden, die Kundendaten ausgeben, dem Client vertrauen oder kein Rate Limiting haben – eine Arbeit, die ein KI-Agent unermüdlich erledigt.
Was es für Softwareteams in den USA und der EU bedeutet
Ihre schwächste Anwendung bestimmt Ihren Vorfall. Banken härten Kernplattformen und Onlinebanking. Vermittlerportale, Abfragen für Broker, mobile Backends für Mitarbeiter und Vertriebstools werden oft schnell und von verschiedenen Dienstleistern gebaut und seltener geprüft. Für Unternehmen im Bereich FinTech und ihre Zulieferer sind sie jetzt Angriffsfläche erster Klasse.
Jährliche Pentests halten mit dem Angreifertempo nicht mehr Schritt. Wenn ein Gegner einen Agenten auf Hunderte Hosts ansetzen und über Nacht iterieren kann, lässt eine Prüfung einmal im Jahr monatelange Lücken. Aufsicht und Großkunden werden kontinuierliche oder an Releases gekoppelte Tests, Monitoring der Angriffsfläche und Nachweise der Behebung verlangen.
Die regulatorischen Fristen sind kurz. EU-Finanzunternehmen müssen schwerwiegende IKT-Vorfälle nach DORA klassifizieren und innerhalb enger Fristen melden, und die New Yorker NYDFS Part 500 verlangt eine Meldung von Cybersecurity-Ereignissen binnen 72 Stunden. Ein Einbruch über ein von einem Dienstleister gebautes Portal bleibt ein Vorfall des Instituts – Verträge mit Softwarelieferanten brauchen daher festgeschriebene Pflichten zu Sicherheitstests und Offenlegung.
Datenminimierung ist eine Sicherheitskontrolle. Eine Statusseite, die nur „genehmigt / in Prüfung“ anzeigen müsste, aber Einkommen und Kreditlimits zurückgab, machte aus einem Auth-Fehler einen meldepflichtigen Datenschutzvorfall. APIs, die nur die minimal nötigen Felder liefern, begrenzen den Schaden der nächsten Umgehung.
Was bedeutet das für den DACH-Markt?
Für Banken, Versicherer und Zahlungsdienstleister in Deutschland und Österreich gilt seit dem 17. Januar 2025 DORA; in Deutschland überwacht die BaFin die Umsetzung. Die Verordnung verlangt nicht nur Meldungen, sondern ein Management der IKT-Drittparteienrisiken – also genau der Dienstleister, die Vermittlerportale, Vertriebstools und mobile Backends bauen. Bedeutende Institute müssen zudem regelmäßig bedrohungsorientierte Penetrationstests (TLPT) durchführen, in Deutschland nach dem Rahmenwerk TIBER-DE. Szenarien mit KI-gestützter Aufklärung gehören künftig in solche Tests.
In der Schweiz verlangt das FINMA-Rundschreiben 2023/1 zu operationellen Risiken und Resilienz ebenfalls ein Management von Cyberrisiken einschließlich ausgelagerter Systeme. Für Fintechs und Softwarehäuser, die DACH-Banken beliefern, heißt das praktisch: Sicherheitstests der eigenen Anwendungen, Nachweise behobener Befunde und klare Meldewege werden zur Voraussetzung im Einkauf – und fließen personenbezogene Daten ab, greift zusätzlich die 72-Stunden-Meldefrist nach Art. 33 DSGVO.
Checkliste zur Härtung von Finanzanwendungen mit Internetzugang
- Alles Erreichbare inventarisieren. Auch Partner- und Vermittlerportale, mobile APIs für Mitarbeiter, Marketing- und Vertriebstools sowie vergessene Staging-Hosts.
- Authentifizierung serverseitig auf jeder Route erzwingen. Keine clientseitigen Prüfungen, keine „versteckten“ Endpunkte, Autorisierung auf Objektebene bei jeder Datensatzabfrage.
- Credential Stuffing stoppen. Phishing-resistente MFA für Mitarbeiter, Rate Limiting und Bot-Erkennung beim Login, Abgleich mit geleakten Passwörtern.
- Nur das Minimum ausliefern. API-Antworten auf das kürzen, was der jeweilige Bildschirm braucht; Kennungen und Finanzfelder standardmäßig maskieren.
- Kontinuierlich testen. Automatisierte Scans in der CI und nach Zeitplan, dazu manuelle Pentests neuer externer Dienste vor dem Go-live.
- Auf agentische Muster achten. Alarm bei systematischem, massenhaftem Abtasten vieler Endpunkte und bei ungewöhnlicher Enumeration von IDs.
Häufige Fragen
Was ist bei den südkoreanischen Banken passiert?
Zwischen dem 1. und 5. Oktober 2026 haben sieben südkoreanische Finanzinstitute Datenlecks bestätigt: Shinhan Bank, KB Kookmin Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank und Hyundai Capital. Laut Korea Herald wurden Daten von rund 66.000 Personen und 2.200 Unternehmensdatensätze offengelegt, darunter Namen, Telefonnummern, Einwohnermeldenummern, Jahreseinkommen und Kreditlimits. Allein Shinhan meldete etwa 25.700 betroffene Kunden.
Wurde bei den Angriffen wirklich KI eingesetzt?
Das ist ein Verdacht, keine Bestätigung. Bloomberg berichtete am 2. Oktober unter Berufung auf Yonhap, dass beim Shinhan-Hack KI-Tools vermutet werden, und Forscher fanden auf einem mit dem Angriff verbundenen Server einen chinesischsprachigen Seitentitel, sinngemäß „Konsole für autonome KI-Penetrationstests“. Diese Zeichenfolge wird mit ARTEX in Verbindung gebracht, einem Open-Source-Framework für Penetrationstests auf LLM-Basis. Präsident Lee Jae Myung sprach von Anzeichen für KI-Einsatz, offiziell bestätigt ist das Tool nicht.
Wie sind die Angreifer eingedrungen?
Die gemeldeten Einfallstore waren periphere, aus dem Internet erreichbare Systeme statt des Kernbankensystems: eine Authentifizierungsumgehung im Statusdienst für Kreditvermittler bei Shinhan, auffällige externe Zugriffe auf ein Mitarbeiter-Mobilsystem bei KB Kookmin und ein unbefugter Zugriffsversuch auf das Vertriebsunterstützungssystem der Hana Bank. Lokale Berichte nennen außerdem Credential Stuffing, also automatisierte Logins mit gestohlenen Passwörtern.
Was sollten Fintech-Teams in den USA und der EU jetzt tun?
Jede von außen erreichbare Anwendung inventarisieren, einschließlich Partnerportalen, Statusseiten für Vermittler und mobilen Backends für Mitarbeiter; Authentifizierung und Autorisierung serverseitig an jedem Endpunkt durchsetzen; Rate Limiting und Schutz gegen Credential Stuffing einführen; die von diesen Systemen gelieferten personenbezogenen Daten minimieren; und kontinuierlich testen, denn KI-gestützte Angreifer tasten eine große Angriffsfläche weit schneller ab, als ein jährlicher Penetrationstest-Zyklus es abbildet.
Quellen
Bloomberg — AI Tools Suspected in Korea’s Shinhan Bank Hack, Yonhap Says (2. Oktober 2026)
The Korea Herald — Police launch major probe as suspected AI hacks sweep through banks (6. Oktober 2026)
The Korea Times — Shinhan, Kookmin, Hana data breaches fuel concerns over AI-powered cyberattacks (2. Oktober 2026)
BleepingComputer — South Korea probes bank breaches amid suspected AI-powered attacks (5. Oktober 2026)