Przeciętni hakerzy z Korei Płn. kradną miliony dzięki AI

Północnokoreańska grupa hakerska ukradła do 12 milionów dolarów w ciągu trzech miesięcy, używając narzędzi AI do dosłownie każdego etapu operacji — od pisania malware po budowanie fałszywych stron internetowych firm.

AI jako wyrównywacz sił na czarnym rynku

Do tej pory skuteczny cyberatak wymagał lat nauki i sporego talentu. Teraz wystarczy wiedzieć, jak zadawać pytania chatbotowi. Grupa stosowała podejście określane jako „vibe coding” — czyli generowanie kodu przez AI bez głębokiego rozumienia, jak on działa. To samo podejście, które junior developerzy stosują do pisania CRUD-ów, trafiło do arsenału szpiegów.

Fałszywe strony firmowe były generowane i wdrażane szybko — wyglądały wystarczająco wiarygodnie, żeby ofiara kliknęła, pobrała plik i uruchomiła infekcję. AI skróciła czas przygotowania całej operacji do minimum.

Czy przeciętny haker staje się groźniejszy niż elita sprzed dekady?

To pytanie zadają sobie teraz analitycy z firm zajmujących się threat intelligence. Tradycyjnie północnokoreańskie grupy — jak Lazarus — były znane z technicznego wyrafinowania. Ale ten incydent pokazuje coś innego: niekoniecznie chodzi o elitę. Chodzi o skalowanie przeciętności.

Jeśli ktoś z podstawową wiedzą o phishingu może wrzucić do Claude’a lub GPT-4 zapytanie „napisz keyloggera w Pythonie, który omija Windows Defender” i dostać działający szkic — próg wejścia dramatycznie spada. Oczywiście modele mają zabezpieczenia. Oczywiście można je obejść.

Raport wskazuje, że hakerzy używali AI nie tylko do kodowania, ale też do:

• redagowania wiarygodnych e-maili phishingowych w językach ofiar
• generowania dokumentacji technicznej dla fałszywych produktów SaaS
• tworzenia profili na LinkedIn i innych platformach dla nieistniejących pracowników fikcyjnych firm

To już nie jest jeden atak. To produkcja na taśmie.

12 milionów dolarów w 90 dni

Dwanaście milionów dolarów to kwota, którą trudno zbagatelizować. Trzy miesiące to tempo, które sugeruje zautomatyzowany pipeline — od identyfikacji celu po wypłatę środków przez kryptowaluty. Korea Północna od lat finansuje swój program rakietowy częściowo z cyberataków; według danych ONZ z 2024 roku kraj ten ukradł ponad 3 miliardy dolarów w kryptowalutach od 2017 roku.

AI przyspiesza ten proceder. Mniej ludzi potrzeba do przeprowadzenia większej liczby operacji.

Co to zmienia dla firm i zespołów security?

Zespoły SOC muszą teraz zakładać, że atakujący nie jest już ograniczony własną wiedzą techniczną — jest ograniczony tylko jakością swojego promptu. To fundamentalnie zmienia modelowanie zagrożeń.

Fałszywe strony firm generowane przez AI są trudniejsze do wykrycia prostymi heurystykami — tekst jest gramatycznie poprawny, layout profesjonalny, certyfikat SSL aktywny. Tradycyjne filtry trenowane na słabej angielszczyźnie phisherów z lat 2010 przestają działać.

Firmy zajmujące się cyberbezpieczeństwem, takie jak CrowdStrike czy Mandiant, od miesięcy ostrzegają przed demokratyzacją zaawansowanych technik ataku przez modele językowe. Ten przypadek to już nie teoria — to udokumentowana operacja z konkretnymi cyframi.

Narzędzia obrony też idą w górę — ale szybciej?

Detektory malware generowanego przez AI, systemy analizy behawioralnej i threat intelligence oparte na LLM-ach — to wszystko istnieje i się rozwija. Problem polega na tym, że atakujący mają niższe koszty operacyjne niż obrońcy. Startup security musi utrzymać zespół, infrastrukturę, compliance. Północnokoreański operator potrzebuje dostępu do internetu i konta w serwisie z API.

Najbardziej niepokojący sygnał z tego incydentu nie leży w skali kradzieży. Leży w tym, że operację przeprowadziła grupa opisywana jako technicznie przeciętna.”, “coverImageAlt”: “Ilustracja przedstawiająca hakera przy komputerze z kodem i symbolami kryptowalut