Korea Południowa zaproponowała zaostrzenie przepisów dotyczących cyberbezpieczeństwa dla banków, firm kryptowalutowych i innych instytucji finansowych po potwierdzeniu incydentów bezpieczeństwa w 16 instytucjach, około 100 000 ujawnionych danych klientów oraz słabości w 130 z 555 firm poddanych przeglądowi na dzień 14 października.
Podsumowanie
- Korea Południowa potwierdziła naruszenia w 16 firmach finansowych, w tym w dwóch firmach kryptowalutowych, po niedawnych cyberatakach.
- Regulatorzy finansowi znaleźli słabości bezpieczeństwa w 130 z 555 firm podczas ogólnobranżowego przeglądu listy kontrolnej.
- Władze oszacowały, że ujawniono około 100 000 danych klientów, w tym nazwiska, dane kontaktowe i numery identyfikacyjne.
- Większe instytucje finansowe mogą podlegać kontrolom podatności dwa razy w roku w ramach proponowanych reform cyberbezpieczeństwa w Korei Południowej.
- Śledczy nie ustalili, czy sztuczna inteligencja ułatwiła ataki, czy te same osoby dokonały ataków na firmy.
Komisja Usług Finansowych (FSC) ogłosiła propozycje po swoim drugim nadzwyczajnym posiedzeniu w Seulu, podczas którego urzędnicy przeanalizowali ostatnie ataki i wyniki ogólnobranżowej inspekcji bezpieczeństwa. Planowane zmiany obejmują częstsze oceny podatności, lepsze monitorowanie zagrożeń i jaśniejszą odpowiedzialność kadry zarządzającej firm.
Korea Południowa znajduje problemy z bezpieczeństwem w 130 firmach
FSC zakończyła przegląd 555 firm finansowych przy użyciu 12-punktowej listy kontrolnej cyberbezpieczeństwa do 8 października. Spośród tych firm 425 zgłosiło, że ich środki bezpieczeństwa spełniają wymagania listy kontrolnej, podczas gdy 130 zidentyfikowało problemy wymagające poprawy.
Regulator stwierdził, że większość dotkniętych firm potrzebowała ulepszeń w jednym lub dwóch obszarach. Typowe niepowodzenia obejmowały przestarzałe oprogramowanie bezpieczeństwa, słabe systemy monitorowania i niewystarczającą ochronę systemów komputerowych dostępnych z zewnątrz.
Niektóre firmy nie zainstalowały najnowszych aktualizacji bezpieczeństwa. Inne nadal używały systemów operacyjnych, których producenci już nie wspierali, pozostawiając je bez regularnej konserwacji bezpieczeństwa.
Inspekcja wykazała, że niektóre firmy nie miały ciągłego monitorowania bezpieczeństwa. Władze zidentyfikowały słabości w kontroli dostępu, w tym przypadki, w których ważne systemy nie używały zaawansowanych procedur uwierzytelniania, takich jak uwierzytelnianie wieloskładnikowe.
Dostawcy elektronicznych usług finansowych i firmy pożyczkowe online zgłosili stosunkowo dużą liczbę niedociągnięć. FSC przypisała ten wzorzec częściowo bardziej ograniczonym zasobom cyberbezpieczeństwa w tych sektorach.
Firmy, które zidentyfikowały słabości, złożyły plany ich naprawy. Środki obejmowały instalację aktualizacji bezpieczeństwa, wymianę przestarzałego sprzętu, zwiększenie personelu monitorującego i ograniczenie dostępu do wrażliwych systemów.
Regulator stwierdził, że dotknięte firmy rozpoczęły wdrażanie środków naprawczych po przeglądzie.
Co ważne, 130 firm z niedociągnięciami w zakresie bezpieczeństwa nie wszystkie zostały zidentyfikowane jako ofiary hakerstwa. FSC osobno potwierdziła rzeczywiste incydenty bezpieczeństwa w 16 firmach finansowych.
Firmy kryptowalutowe wymienione wśród 16 dotkniętych firm
Śledztwo zidentyfikowało incydenty dotyczące czterech banków komercyjnych, czterech banków oszczędnościowych, firm pożyczkowych, dostawców elektronicznych usług finansowych, firm inwestycyjnych online i dwóch operatorów usług kryptowalutowych.
Wśród dotkniętych firm zajmujących się aktywami cyfrowymi znalazły się Streami, która obsługuje giełdę kryptowalut Gopax, oraz Prabang, zidentyfikowany jako dostawca usług aktywów wirtualnych w ogłoszeniu FSC.
Instytucje bankowe obejmowały Shinhan Bank, KB Kookmin Bank, Busan Bank i Hana Bank. Banki oszczędnościowe to Yegaram, Welcome, DB i OK.
Inne dotknięte firmy to Hyundai Capital, KDB Capital, PFCT, Mouda i Koreańska Federacja Spółdzielczych Kas Oszczędnościowo-Kredytowych.
FSC oszacowała, że w potwierdzonych incydentach ujawniono około 100 000 danych klientów.
Skompromitowane dane obejmowały nazwiska, numery telefonów, adresy e-mail i południowokoreańskie numery rejestracyjne mieszkańców.
Jednak komisja stwierdziła, że śledczy nie potwierdzili ujawnienia haseł do kont lub numerów kart płatniczych, które mogłyby bezpośrednio umożliwić nieautoryzowane transakcje.
Po tych incydentach regulatorzy nakazali dotkniętym firmom zablokowanie adresów IP powiązanych z podejrzaną aktywnością, zastosowanie poprawek bezpieczeństwa i zawieszenie podatnych usług, gdy było to konieczne.
Klienci, których informacje zostały ujawnione, mieli otrzymać powiadomienie i wskazówki dotyczące środków ochronnych.
Financial Supervisory Service i Financial Security Institute nadal badają, w jaki sposób napastnicy weszli do dotkniętych systemów. Śledczy porównują dowody techniczne z poszczególnych incydentów, aby ustalić, czy odpowiedzialne były te same osoby lub grupy.
Władze nie ustaliły, czy sztuczna inteligencja odegrała rolę w atakach.
Południowokoreańskie firmy kryptowalutowe już wcześniej były objęte odrębnymi dochodzeniami dotyczącymi bezpieczeństwa. W lipcu Financial Supervisory Service rozpoczęła postępowanie sankcyjne przeciwko Dunamu, operatorowi Upbit, w związku z wcześniejszym naruszeniem bezpieczeństwa portfela.
Dochodzenie regulacyjne w sprawie włamania do Upbit w listopadzie 2025 r. dotyczyło obowiązków giełdy w zakresie bezpieczeństwa i zgodności z obowiązującymi przepisami o ochronie aktywów wirtualnych.
To postępowanie dotyczy innego incydentu i nie zostało powiązane przez FSC z najnowszą grupą ataków na sektor finansowy.
Korea Południowa proponuje kontrole cyberbezpieczeństwa dwa razy w roku
Po wynikach kontroli FSC przedstawiła plany zwiększenia częstotliwości ocen cyberbezpieczeństwa, począwszy od dużych instytucji finansowych.
Obecne przepisy finansowe zasadniczo wymagają oceny podatności raz w roku, przy czym kontrole dwa razy w roku już mają zastosowanie do zewnętrznych stron internetowych.
Proponowane reformy rozszerzyłyby oceny do co najmniej dwóch razy w roku dla większych instytucji o rozległych połączeniach zewnętrznych i bazach klientów.
Regulatorzy zamierzają uczynić ważne zewnętrzne punkty dostępu obowiązkowymi celami kontroli. Władze rozważają dodatkowe kontrole bezpieczeństwa poza zaplanowanymi przeglądami, gdy pojawią się pilne zagrożenia.
Komisja planuje bardziej szczegółowy przegląd systemów instytucji finansowych, obejmujący połączenia zewnętrzne, procedury uwierzytelniania i kontrole wewnętrzne.
W ramach proponowanych rozwiązań firmy musiałyby prowadzić jaśniejsze rejestry tego, jak systemy zewnętrzne łączą się z ich sieciami oraz którzy pracownicy lub usługi mogą uzyskiwać dostęp do informacji wrażliwych.
FSC chce wyraźniejszego podziału obowiązków między dyrektorów generalnych, dyrektorów ds. bezpieczeństwa informacji i dyrektorów ds. informacji.
Regulatorzy analizują sposoby wzmocnienia odpowiedzialności, gdy firmy nie wdrażają wymaganych środków bezpieczeństwa lub ignorują zalecenia po kontrolach.
Komisja nie ogłosiła ostatecznej daty wdrożenia proponowanych wymogów oceny dwa razy w roku.
Szczegóły harmonogramu kontroli i objętych nią instytucji zostaną ustalone w drodze dalszych konsultacji z przedstawicielami branży finansowej.
Regulator finansowy planuje nowe narzędzia bezpieczeństwa AI
Poza obowiązkowymi kontrolami FSC planuje usprawnić sposób, w jaki instytucje finansowe zgłaszają podejrzane cyberataki.
Obecnie Financial Supervisory Service i Financial Security Institute rozpowszechniają informacje o zagrożeniach wśród firm za pośrednictwem zintegrowanej platformy monitorowania znanej jako FIRST.
Jednak informacje zidentyfikowane przez poszczególne instytucje finansowe za pomocą ich własnych systemów monitorowania nie są konsekwentnie udostępniane w całej branży.
Regulator chce rozszerzyć system, aby firmy mogły zgłaszać nowo zidentyfikowane zagrożenia i pomagać innym przedsiębiorstwom reagować, zanim podobne ataki się rozprzestrzenią.
Władze przygotowują oparte na AI ramy monitorowania zagrożeń, które klasyfikowałyby wagę wykrytych ryzyk i dostarczały informacje instytucjom finansowym.
FSC rozważa narzędzia AI zdolne do testowania zewnętrznie eksponowanych systemów komputerowych, wewnętrznego kodu oprogramowania i aplikacji mobilnych pod kątem podatności.
Mniejsze firmy mogłyby otrzymać wsparcie poprzez wspólną usługę monitorowania opartą na AI, opracowaną ze stowarzyszeniami branży finansowej.
Financial Security Institute zbada proponowaną usługę i przygotuje wytyczne dotyczące bezpieczeństwa dostosowane do przedsiębiorstw o ograniczonych zasobach technicznych.
Na spotkaniu 14 października sekretarz generalny FSC Shin Jin-chang skrytykował firmy finansowe, które nie zastosowały się do podstawowych wymogów cyberbezpieczeństwa pomimo powtarzanych ostrzeżeń.
Powiedział, że „bardzo bolesne” było odkrycie niedociągnięć po tym, jak wcześniejsze incydenty bezpieczeństwa finansowego wywołały wezwania do silniejszych kontroli.
Shin wezwał do usprawnień obejmujących połączenia zewnętrzne, procedury uwierzytelniania, systemy monitorowania i odpowiedzialność kadry zarządzającej.
Powiedział, że regulator będzie dążył do systemu mającego na celu „obronę przed atakami AI za pomocą AI”.
Władze już wcześniej ostrzegały klientów przed oszustwami
Przed ogłoszeniem najnowszych propozycji południowokoreańscy regulatorzy wydali ostrzeżenie dla konsumentów dotyczące możliwego wykorzystania informacji skradzionych podczas naruszeń w sektorze finansowym.
6 października FSC i Financial Supervisory Service wydały ostrzeżenie poziomu I, ostrzegając klientów przed atakami phishingowymi i oszukańczymi wnioskami kredytowymi.
Agencje ustanowiły jednomiesięczny okres specjalnego reagowania rozpoczynający się 6 października.
W tym okresie firmy finansowe zostały zobowiązane do udzielania pomocy poszkodowanym klientom oraz wzmocnienia monitorowania podejrzanych otwarć kont, wniosków kredytowych i dużych przelewów.
Władze nakazały firmom korzystanie z opartej na AI Platformy Współdzielenia i Analizy Anty-Phishingowej, znanej jako ASAP, do rozpowszechniania informacji o podejrzanych oszustwach.
Regulator stwierdził, że firmy powinny żądać dodatkowej weryfikacji tożsamości, gdy podejrzana aktywność dotyczyła potencjalnie skradzionych danych klientów.
W momencie wydania zawiadomienia z 6 października władze nie potwierdziły strat finansowych spowodowanych phishingiem lub nieautoryzowanymi przelewami z wykorzystaniem informacji ujawnionych w ostatnich naruszeniach.
Agencje poinformowały, że podniosą ostrzeżenie dla konsumentów z poziomu I do poziomu II, jeśli zostaną potwierdzone późniejsze szkody finansowe związane ze skradzionymi informacjami.
