韓國在確認16家機構發生安全事件、約10萬筆客戶記錄外洩，以及截至10月14日審查的555家公司中有130家存在弱點後，提議對銀行、加密貨幣企業和其他金融公司實施更嚴格的網路安全規則。
摘要
- 在近期網路攻擊後，韓國確認16家金融公司發生外洩事件，其中包括兩家加密貨幣企業。
- 金融監管機構在對555家公司進行的全行業檢查清單審查中，發現130家公司存在安全弱點。
- 當局估計約有10萬筆客戶記錄外洩，包括姓名、聯絡方式和身分證號碼。
- 根據韓國擬議的網路安全改革，較大型金融機構可能每年接受兩次弱點檢查。
- 調查人員尚未確定人工智慧是否協助了攻擊，或是否為同一批肇事者針對這些公司。
金融服務委員會（FSC）在首爾舉行第二次緊急應變會議後宣布了這些提案，會中官員審查了近期攻擊以及全行業安全檢查的結果。計劃中的變更包括更頻繁的弱點評估、改善威脅監控，以及更明確的公司高階主管責任。
韓國發現130家公司存在安全問題
FSC在10月8日前使用12點網路安全檢查清單完成了對555家金融公司的審查。在這些企業中，425家報告其安全措施符合檢查清單要求，而130家發現需要糾正的問題。
監管機構表示，大多數受影響公司需要在一到兩個領域進行改進。常見缺失包括安全軟體過時、監控系統薄弱，以及對外部可存取電腦系統的保護不足。
一些公司未安裝最新的安全更新。其他公司則繼續運行製造商不再支援的作業系統，導致它們無法獲得定期安全維護。
檢查發現，某些企業缺乏持續的安全監控。當局發現存取控制存在弱點，包括重要系統未使用多重要素驗證等增強式驗證程序的情況。
電子金融服務供應商和線上借貸企業報告的缺失數量相對較多。FSC將此模式部分歸因於這些行業的網路安全資源較為有限。
發現弱點的公司提交了糾正計畫。措施包括安裝安全更新、更換過時設備、擴充監控人員，以及限制對敏感系統的存取。
監管機構表示，受影響公司在審查後已開始實施糾正措施。
重要的是，這130家存在安全缺陷的公司並非全都被認定為駭客受害者。FSC另行確認了16家金融企業的實際安全事件。
加密貨幣公司被列為16家受影響企業之一
調查確認的事件涉及四家商業銀行、四家儲蓄銀行、借貸公司、電子金融服務供應商、線上投資企業和兩家加密貨幣服務營運商。
受影響的數位資產企業包括營運Gopax加密貨幣交易所的Streami，以及FSC公告中認定為虛擬資產服務供應商的Prabang。
銀行機構包括新韓銀行、KB國民銀行、釜山銀行和韓亞銀行。儲蓄銀行則為Yegaram、Welcome、DB和OK。
其他受影響企業包括現代資本、KDB資本、PFCT、Mouda和韓國社區信用合作社聯合會。
FSC估計，在已確認的事件中，約有10萬筆客戶資訊外洩。
外洩記錄包括姓名、電話號碼、電子郵件地址和韓國居民登記號碼。
然而，該委員會表示，調查人員尚未確認帳戶密碼或支付卡號碼等可直接促成未經授權交易的資訊外洩。
事件發生後，監管機構指示受影響的公司封鎖與可疑活動相關的IP位址，套用安全修補程式，並在必要時暫停有漏洞的服務。
資訊遭到外洩的客戶將收到通知及保護措施的指引。
金融監督院與金融保安院持續調查攻擊者如何進入受影響的系統。調查人員正在比對各起事件中的技術證據，以判定是否為同一批人或團體所為。
當局尚未確定人工智慧是否在這些攻擊中扮演任何角色。
韓國加密貨幣企業過去也曾面臨另一起安全調查。7月，金融監督院就早先的錢包外洩事件，對Upbit的營運商Dunamu啟動制裁程序。
針對Upbit於2025年11月遭駭客攻擊的監管調查，涉及該交易所的安全責任及對現行虛擬資產保護法的遵循情況。
該程序涉及的是另一起事件，金融服務委員會並未將其與最新這批金融業攻擊連結起來。
韓國提議每年兩次網路安全檢查
根據檢查結果，金融服務委員會概述了提高網路安全評估頻率的計畫，首先從大型金融機構開始。
現行金融法規通常要求每年進行一次弱點評估，而每年兩次的檢查已適用於外部網站。
擬議的改革將把評估範圍擴大至每年至少兩次，適用於擁有大量外部連結和客戶基礎的大型機構。
監管機構打算將重要的外部存取點列為強制檢查目標。當局正考慮在出現緊急威脅時，於既定審查之外進行額外的安全檢查。
該委員會計畫對金融機構的系統進行更詳細的審查，涵蓋外部連結、身分驗證程序及內部控制。
根據擬議的安排，公司需要更清楚地記錄外部系統如何連接至其網路，以及哪些員工或服務可以存取敏感資訊。
金融服務委員會希望更明確地劃分執行長、資訊安全長和資訊長的職責。
監管機構正在檢討各種方式，以便在企業未能實施所需安全措施或忽視檢查後建議時，加強問責。
該委員會並未宣布擬議每年兩次評估要求的最終實施日期。
檢查時程及涵蓋機構的細節，將透過與金融業代表的進一步磋商來確定。
金融監管機構計畫推出新的人工智慧安全工具
除了強制檢查之外，金融服務委員會還計畫改善金融機構通報疑似網路攻擊的方式。
目前，金融監督院與金融保安院透過名為FIRST的整合監控平台，向企業發布威脅資訊。
然而，個別金融機構透過自身監控系統所發現的資訊，並未在整個業界一致地共享。
監管機構希望擴大該系統，讓企業能夠通報新發現的威脅，並協助其他企業在類似攻擊擴散之前做出因應。
當局正在準備一套以人工智慧為基礎的威脅監控框架，將對偵測到的風險進行嚴重程度分類，並向金融機構提供資訊。
金融服務委員會正在考慮具備測試外部暴露的電腦系統、內部軟體程式碼及行動應用程式弱點能力的人工智慧工具。
規模較小的公司可透過與金融業協會共同開發的共享人工智慧監控服務獲得支援。
金融保安院將檢視擬議的服務，並為技術資源有限的企業準備量身打造的安全指引。
在10月14日的會議上，金融服務委員會（FSC）秘書長申鎮昌批評了那些儘管多次警告仍未遵守基本網路安全要求的金融公司。
他表示，在先前的金融安全事件已引發加強管控的呼聲之後，發現這些缺失「非常令人痛心」。
申鎮昌呼籲在外部連接、身分驗證程序、監控系統及高階主管責任等方面進行改善。
他表示，監管機構將推動一套旨在「以AI防禦AI攻擊」的系統。
當局此前已就詐騙向客戶發出警告
在宣布最新提案之前，韓國監管機構就金融業洩露事件中被竊資訊可能遭濫用的問題發布了消費者警示。
10月6日，FSC與金融監督院發布了一級警戒通知，警告客戶注意網路釣魚攻擊及詐騙貸款申請。
這些機構設立了自10月6日起為期一個月的特別應對期。
在此期間，金融公司被指示向受影響的客戶提供協助，並加強對可疑開戶、貸款申請及大額轉帳的監控。
當局指示各公司使用基於AI的反網路釣魚共享與分析平台（簡稱ASAP），以散布有關疑似詐騙的資訊。
監管機構表示，當可疑活動涉及可能被竊取的客戶資訊時，公司應要求進行額外的身分驗證。
在10月6日發布通知時，當局尚未確認因網路釣魚或使用近期洩露事件中所暴露資訊進行未經授權轉帳而造成的財務損失。
這些機構表示，若後續確認涉及被竊資訊的財務損失，他們將把消費者警示從一級提升至二級。
