韓國警方今日公布，破獲當地首宗大型生成式 AI 黑客案：7 名疑犯涉嫌利用 AI 工具入侵超過 90 間機構，偷走 820 萬筆個人資料及公司內部資料，再向受害機構勒索金錢。最令人留意的是速度——其中 60 間機構據報在 8 月 31 日至 10 月 13 日短短 40 多日內先後失守，而主腦並非 IT 出身。
首爾警察廳網絡調查部門今日交代案情，指疑犯由 2025 年 9 月起至今年 10 月，針對補習社、醫院、哥爾夫球場、大學、殯儀服務公司以至大型企業關聯公司及地區互助金融機構落手。32 歲主腦 A 已被拘留並移交檢察機關，另外 6 名同黨正接受不拘留調查，罪名包括違反《資訊通信網法》、勒索及企圖勒索。
由人手掃漏洞，到 AI 幫手大規模入侵
調查發現，主腦最初是自己操作網站漏洞掃描工具，進度有限；到全面使用生成式 AI 之後，入侵速度明顯加快。警方指，他其後利用 AI 編碼代理及 AI 自動滲透測試系統，在 8 月 31 日至 10 月 13 日期間攻破 60 間機構。換句話說，AI 在這宗案件裡的角色，不只是幫手寫幾句釣魚電郵，而是直接參與尋找漏洞同入侵系統。
這套自動滲透測試系統本身源自保安測試用途。警方同時交代，同款系統亦曾在近期一宗金融界個人資料外洩事件中出現，但暫時未確認兩宗案件有關連。這一點很重要：工具本身有合法用途，問題在於落入犯罪者手上之後，入侵門檻同規模都被拉低。
主腦並非 IT 出身，但並非完全無經驗
主腦 A 大學讀藝術體育系，沒有 IT 學位，自稱透過 YouTube 等渠道自學黑客技巧。不過警方亦指出，他在 2019 年至 2022 年曾於一間保安公司負責模擬入侵工作，對網站入侵有相當認識。所以準確講法是：AI 令一個有基本底子的人，可以在短時間內把犯案規模擴大好多倍，而不是任何零經驗的人一夜之間就做到同一件事。
至於其餘同黨，據報是經 Telegram 看到「簡單電話工作」、「打一個 30 秒電話就得」之類的招募帖文加入，每通電話收 1 萬至 3 萬韓圜，負責向拒絕付款的機構高層及職員打電話、發短訊施壓。
勒索手法：先電郵恐嚇，再電話施壓
得手之後，疑犯會向受害機構發電郵，聲稱已經偷走公司資料，警告一旦外洩，公司形象會受損，更可能面對罰款及客戶訴訟。合共索取金額達 3.6 億韓圜，但調查發現，實際只從其中一間公司收到 30 萬韓圜，其餘勒索並未得逞。
受害規模方面，單一間殯儀服務公司就有 122 萬筆資料被盜，是目前已知最多的一間；補習社被盜的資料更包括未成年人的個人資料。警方已起出主腦住所的筆記本電腦、一次性電話及無線路由器，並尋回被盜的個人資料，但資料有否在暗網二次流出，仍在調查中。至今只有 15 間公司正式報案，警方表示會繼續確認其餘受害者及追查犯罪得益。
警方點樣破案：自己都用 AI 查案
案件在今年 6 月由一間受害公司投訴揭發，8 月起由首爾警方統籌全國同類案件調查。警方動用自行開發的 AI 調查工具，分析約 53 萬份調查資料，包括通話及帳戶紀錄，從而鎖定主腦及同黨身份，約 4 個月內拘捕 7 人。7 月至 9 月期間，警方先後拘捕 5 名涉威脅受害機構的人士，10 月初拘捕負責提供犯罪帳戶及招募同黨的 B，之後再拘捕主腦 A。
首爾警方網絡犯罪調查部門負責人亦公開呼籲，企業一旦被入侵，不要付款，應即時向警方報案。
對香港讀者有咩啟示
這宗案件發生在韓國，但手法對香港絕對有參考價值。香港的補習社、診所、健身中心、會所同中小企，同樣持有大量客戶姓名、電話、身份證資料甚至付款資料，未必有專職保安團隊，網站又可能好耐無修補漏洞。一旦資料經第三方外洩，市民之後收到的釣魚短訊、假冒客服電話就會可信得多，因為騙徒手上已有真實個人資料。
對企業而言，今次案件提醒三件事：網站漏洞要定期修補，不能只靠上線時做一次檢測；員工及供應商接觸客戶資料的權限要收窄；一旦懷疑被入侵，要有應變計劃，包括保存證據、通知受影響客戶及報警，而不是第一時間同勒索者討價還價。對個人而言，收到聲稱掌握你個人資料、要求付款或提供進一步資料的訊息，先停一停，經官方渠道核實，不要直接按訊息內的連結或回覆付款。
最後要分清楚未確認的部分：警方指其中 60 間機構懷疑以 AI 工具入侵，其餘機構的具體入侵手法、完整受害名單，以及被盜資料有否二次外洩，仍在調查中；案件目前只去到移交檢察機關階段，主腦及同黨尚未經法庭定罪。本文所用的數字及案情，均以首爾警方今日公布及韓國媒體引述的調查內容為準。
資料來源
- Yonhap News Agency：Cybercrime ring busted over AI-powered data theft targeting hospitals, businesses
- Seoul Economic Daily：Self-Taught Hacker Used AI to Steal 8.2 Million Records, Police Say
- Chosun Biz：Police bust AI-driven ring stealing 8.2 million records in South Korea
