Peretasan berbasis AI di Korea: Shinhan kehilangan data 25.000 nasabah, KB Kookmin ikut bocor

Kasus ini berawal dari pengungkapan Shinhan Bank, unit Shinhan Financial Group, pada hari Kamis bahwa pihak eksternal tak berwenang mengakses sejumlah layanan dan merampas informasi nasabah. Data yang bocor mencakup nama, nomor telepon, pendapatan tahunan, hingga plafon pinjaman - kombinasi yang cukup untuk menyusun penipuan yang meyakinkan. Bank menyatakan masih menyelidiki penyebab, cakupan, dan dampak bersama otoritas serta pakar keamanan siber eksternal, dan mengaku belum bisa menghitung dampak finansial secara pasti.

Yang membuat kasus ini berbeda dari kebocoran bank biasa adalah dugaan perannya AI. Laporan Yonhap, mengutip pakar keamanan siber, menyebut penyerang kemungkinan besar memakai agen AI canggih untuk memindai celah keamanan dan mendapat akses tak sah ke layanan yang digunakan perekrut pinjaman. Direktur Genians Mun Chong-hyun menjelaskan bahwa alat AI yang awalnya dikembangkan untuk pertahanan kini berbagi kode secara liar dan menjadi pedang bermata dua ketika dipakai untuk kejahatan. Manajer NordVPN Korea Sungho Hwang menambahkan bahwa data pribadi plus finansial sangat berbahaya karena AI generatif membuat penipuan personal jauh lebih meyakinkan.

Keesokan harinya situasi memburuk: KB Kookmin Bank, bank komersial besar lain di Korea, mengumumkan bahwa data pribadi lebih dari 100 nasabahnya juga dicuri lewat peretasan. Sumber yang dikutip Yonhap menyebut peretas yang diduga berbasis luar negeri memakai alat AI maju untuk mengekstraksi informasi, dan Shinhan kemungkinan adalah korban acak dari gelombang serangan berbasis AI ke platform daring yang rentan. Data KB yang bocor meliputi nama, nomor telepon, dan identitas terenkripsi, dengan janji kompensasi penuh bila ada kerugian.

Insiden berurutan ini memaksa industri keuangan Korea menghitung ulang risikonya. Kalangan perbankan khawatir sektor keuangan secara keseluruhan rentan terhadap serangan yang dibantu agen AI, dan mendesak lembaga keuangan untuk segera melakukan pemeriksaan keamanan mandiri terhadap potensi celah. Shinhan sendiri membentuk gugus tugas darurat dan menerapkan langkah pencegahan tambahan sambil menyelidiki bagaimana penyerang bisa lolos.

Bagi pembangun produk di sekitar layanan keuangan digital, pelajarannya konkret: agen AI yang dipakai pembela bisa jadi senjata penyerang, sehingga pembatasan laju akses, deteksi pola akses abnormal, dan segmentasi layanan internal bukan lagi fitur tambahan melainkan syarat dasar. Kasus ini juga menegaskan bahwa keamanan aplikasi yang dipakai kontraktor dan tim lapangan - seperti layanan untuk perekrut pinjaman - sering kali menjadi pintu masuk yang paling lemah.