Что ARTEX раскрывает о незащищенных поверхностях атак

Атаки с поддержкой ИИ увеличивают скорость, с которой злоумышленники могут находить и тестировать незащищенные системы. Для финансовых институтов, крупных предприятий и онлайн-бизнеса это делает контроль над приложениями и API важнее, чем когда-либо.

Финансовый сектор Южной Кореи реагирует на значительную волну киберинцидентов.

По состоянию на 14 октября 2026 года Комиссия по финансовым услугам (FSC) подтвердила недавние утечки данных в 16 финансовых компаниях, затронувшие примерно 100 000 записей с клиентской информацией.

Важно отметить, что южнокорейские власти к настоящему моменту не сделали вывод о том, что во всех 16 инцидентах участвовал один и тот же субъект, метод атаки или инструмент с поддержкой ИИ.

Ранее в ходе расследования на инфраструктуре, связанной с атаками, были обнаружены следы ARTEX — автономного инструмента для тестирования на проникновение на базе ИИ. В публичных отчетах ARTEX впоследствии связали с активностью, направленной против корейских финансовых институтов, хотя корейские власти продолжают расследовать точную роль ИИ в более широкой серии инцидентов. Расследование все еще продолжается, поэтому ARTEX следует рассматривать как важную часть общей картины, а не как подтвержденную причину каждого из сообщенных инцидентов.

Главная тема новостей — ИИ. Но один из самых полезных уроков безопасности гораздо проще: злоумышленники искали системы, которые проще упустить из виду.

Злоумышленникам не обязательно начинать с вашего самого критического приложения

Недавние инциденты были сосредоточены не исключительно на основных банковских приложениях. Это различие имеет значение.

В числе затронутых целей оказались служба запросов на кредиты, используемая финансовыми брокерами, мобильная система поддержки работы сотрудников и службы поддержки продаж. В инциденте с Shinhan Bank сервис, используемый кредитными брокерами для проверки статуса заявки, раскрыл личную и кредитную информацию примерно 25 000 клиентов.

Организации обычно уделяют значительное внимание безопасности своих наиболее критически важных клиентских приложений и транзакционных систем. Но крупная цифровая инфраструктура включает в себя гораздо больше, чем просто флагманские сервисы. Она может включать порталы партнеров и поставщиков, бэкенды мобильных приложений, приложения для сотрудников, системы поддержки продаж, устаревшие службы, сторонние интеграции, API и приложения, созданные в различных бизнес-подразделениях и облачных средах.

Регуляторы Южной Кореи обращают на это внимание

Регуляторы Южной Кореи теперь открыто рассматривают эту проблему. После инцидентов FSC заявила, что планирует усилить оценку ИТ-активов, которые находятся в точках внешнего подключения и ранее могли выходить за рамки обычной оценки безопасности.

Финансовые органы также предписали компаниям проверить интернет-системы за пределами основных каналов обслуживания клиентов, включая системы, используемые сотрудниками, кредитными брокерами, подрядчиками и другим внешним персоналом. В ходе проверки особое внимание было обращено на уязвимости аутентификации и на то, могли ли внешние пользователи получать доступ к большему объему персональной информации, чем требовалось для их ролей.

Наступательные инструменты с поддержкой ИИ потенциально делают эту проблему более острой, поскольку злоумышленники могут автоматизировать большую часть работы, необходимой для поиска этих слабых мест.

ИИ меняет скорость атаки, а не ее фундаментальные основы

Такие инструменты, как ARTEX, предназначены для автоматизации частей тестирования на проникновение, которые традиционно требовали значительных человеческих усилий, включая разведку, анализ уязвимостей, исследование путей атак и многократное тестирование.

Это не значит, что ИИ изобрел принципиально новую уязвимость.

Забытое приложение — по-прежнему забытое приложение. Слабое место в аутентификации — по-прежнему слабое место. Устаревший API — по-прежнему устаревший API.

Меняется лишь то, насколько быстро и широко злоумышленник может начать их поиск.

Местный корейский анализ безопасности этих инцидентов пришел к аналогичному выводу: ИИ может автоматизировать и усиливать существующие методы атак, увеличивая скорость и масштаб, с которыми злоумышленники ищут уязвимости в системах с внешним доступом.

Для защитников вывод прост: вам необходимо понимать свою поверхность атаки по крайней мере так же хорошо, как ее понимает злоумышленник.

Тот же урок применим и за пределами финансовых услуг

Текущее расследование сосредоточено на корейских финансовых организациях, но лежащий в его основе паттерн уязвимости актуален для самых разных отраслей.

Крупные корейские предприятия эксплуатируют системы поставщиков, партнерские порталы, приложения для сотрудников, клиентские платформы, мобильные сервисы и API, распределенные по нескольким бизнес-подразделениям и средам.

Электронная коммерция и онлайн-бизнес зависят от столь же сложных экосистем, включающих клиентские учетные записи, оформление заказов и платежей, программы лояльности, платформы для продавцов, мобильные приложения, фулфилмент и сторонние интеграции.

Каждое новое приложение и интеграция может добавлять новые конечные точки и API. Со временем задокументированная организацией среда может расходиться с той средой, которая работает на самом деле.

Именно эта разница между заявленной и реальной подверженностью угрозам порождает пробелы в видимости безопасности.

Знайте, какие API существуют на самом деле

Для организаций урок, извлеченный из корейских инцидентов, заключается вовсе не в том, что каждая атака, связанная с ARTEX, была эксплойтом API. Публичные отчеты не подтверждают этот факт.

Более важный урок заключается в том, что команды безопасности должны иметь видимость всех приложений и API, поддерживающих их цифровую среду, особенно тех, которые находятся вне систем, получающих наибольшее внимание.

Инвентаризации API, составленные только из одного источника, могут упускать важный контекст. Шлюз может рассказать вам только о том, что управляется через этот шлюз. Документация может сообщить о том, что задекларировали команды разработки. База данных управления конфигурациями может показать то, что было в нее внесено.

Злоумышленники не ограничены ни одним из этих представлений.

Устраните пробел в видимости

Akamai API Security обнаруживает API из множества источников, включая наблюдаемый производственный трафик, шлюзы API, облачные среды, репозитории кода, спецификации и документацию API, а также точки внешнего доступа.

Это помогает командам выявлять теневые, зомби-API, неуправляемые и недокументированные API, а также различия между тем, что команды ожидают увидеть, и тем, что наблюдается на самом деле.

Для крупной организации устранение этого пробела в видимости имеет фундаментальное значение.

Выявляйте дрифт и риски API раньше злоумышленника

Обнаружение отвечает на один вопрос: что там есть?

Следующий вопрос должен звучать так: что изменилось и что представляет собой риск?

API мог быть задокументирован и защищен должным образом в момент его появления, но приложения развиваются. Появляются новые конечные точки. Старые версии остаются активными. Меняется аутентификация. Конфиденциальные данные начинают передаваться через API, который изначально был создан для других целей. То, что наблюдается в рабочей среде, может отличаться от ожиданий команд безопасности.

Akamai API Security помогает командам выявлять проблемы с состоянием API, такие как пробелы в аутентификации и авторизации, ошибки конфигурации, утечки конфиденциальных данных, несоответствия спецификациям и риски, связанные с OWASP API Security Top 10.

Это позволяет защитникам выйти за рамки простого наличия актива и задать более важные вопросы:

• Должен ли этот API по-прежнему быть активным?

Должен ли этот API по-прежнему быть активным?

• Настроен ли для него надлежащий уровень аутентификации?

Настроен ли для него надлежащий уровень аутентификации?

• Соответствует ли наблюдаемое поведение его спецификации?

Соответствует ли наблюдаемое поведение его спецификации?

• Раскрывает ли он конфиденциальную информацию?

Раскрывает ли он конфиденциальную информацию?

• Используются ли эндпоинты, появление которых команды безопасности не ожидали?

Используются ли эндпоинты, появление которых команды безопасности не ожидали?

Эти вопросы приобретают все большую важность, поскольку злоумышленники все быстрее находят собственные ответы.

Понимайте поведение, а не только отдельные запросы

Видимость и оценка защищенности — это лишь часть картины.

Некоторые из наиболее трудно обнаруживаемых угроз API не выглядят явно вредоносными, если рассматривать их по одному запросу за раз. Злоумышленники могут использовать легитимную функциональность, действительные учетные данные или ожидаемые эндпоинты непредусмотренными способами.

Решение Akamai API Security анализирует поведение API во время выполнения, чтобы выявить паттерны, которые могут указывать на злоупотребления или нарушения, включая подозрительный доступ к данным, избыточное извлечение, скрейпинг, манипуляции с данными, необычные последовательности запросов и нарушения бизнес-логики.

Инциденты в Корее также иллюстрируют операционные издержки от задержки обнаружения. В трех крупных банках заявленное время обнаружения составляло от примерно 15 часов до почти 68 часов. Хотя эти цифры не следует интерпретировать как доказательство того, что поведенческий анализ API обнаружил бы эти конкретные атаки, они демонстрируют, как долго подозрительная, но выглядящая легитимно активность может оставаться незамеченной, прежде чем защитники распознают в ней нарушение.

Выстраивайте эшелонированную защиту

Поскольку решение API Security работает вне канала передачи данных (out of band), его не следует рассматривать как замену встроенной защите. Вместо этого оно предоставляет контекст, специфичный для API, который помогает командам безопасности понять происходящее и направлять результаты проверок в рабочие процессы расследования, устранения последствий и существующие процессы принудительного применения политик.

Это создает эшелонированную защиту: встроенные средства контроля защищают путь запроса, в то время как специализированная система безопасности API обеспечивает более глубокую видимость инфраструктуры API, уровня защищенности и поведения.

Проводите тестирование до того, как это сделает автоматизированная атака

Поскольку злоумышленники все шире автоматизируют свою разведку и тестирование, защитникам необходимо увеличивать частоту самостоятельного тестирования своих API.

Akamai Active Testing предлагает более 200 автоматизированных тестов безопасности API, которые можно запускать в CI/CD-процессах, по расписанию или по требованию для выявления специфичных для API уязвимостей и рисков безопасности.

В сочетании с обнаружением API и контекстом оценки защищенности непрерывное тестирование помогает организациям сосредоточиться на наиболее важных API и выявлять уязвимости до того, как с ними столкнется злоумышленник в рабочей среде.

Урок ARTEX шире, чем сам ARTEX

Команды безопасности должны обратить внимание на ARTEX, но погоня за отдельным инструментом не является устойчивой стратегией защиты.

За ним последует другой инструмент.

Более надежный ответ заключается в том числе в сокращении возможностей для атак, которые эти инструменты могут обнаружить.

Для корейских финансовых институтов, крупных предприятий и онлайн-бизнеса это означает понимание того, какие приложения и API выставлены наружу, выявление разрывов между документированной и наблюдаемой средой, понимание того, где конфиденциальные данные и критически важные рабочие процессы подвергаются риску, анализ поведения на предмет признаков злоупотреблений и непрерывное тестирование API до того, как это сделают злоумышленники.

ИИ может ускорить действия злоумышленников.

Решение заключается не просто в добавлении ИИ. Оно заключается в лучшей видимости, лучшем контексте и меньшем количестве забытых элементов поверхности атаки.

Взгляните на свою инфраструктуру API с другой перспективы

Akamai API Security помогает организациям обнаруживать API в различных источниках, выявлять риски для уровня защищенности и конфиденциальных данных, анализировать поведение во время выполнения и непрерывно тестировать API на наличие уязвимостей.

Обратитесь к своей команде Akamai, чтобы узнать, как оценка безопасности API поможет выявить пробелы в видимости и рисках во всей вашей среде.

Об авторе

Стас Нейман

Стас Нейман — ведущий специалист по маркетингу, специализирующийся на кибербезопасности. В должности директора по продуктовому маркетингу в компании Akamai он курирует портфель решений по безопасности приложений и API стоимостью 1,5 млрд долларов, формируя позиционирование, стратегию обмена сообщениями и роста для решений App & API Protector (WAAP), API Security, Firewall for AI и управления ботами. До прихода в Akamai Стас создал функцию продуктового маркетинга в компании Noname Security (приобретенной Akamai) и руководил продуктовым маркетингом портфеля решений Workforce Identity в компании CyberArk. Ранее в своей карьере Стас руководил продуктовым маркетингом и инициативами вывода на рынок в Amazon Web Services (AWS) и HP, помогая запускать и развивать несколько высокоэффективных продуктов в сфере безопасности и корпоративной мобильности.