Hacker dringen in Südkoreas FSI ein – der Behörde, die die Welle von Bank-Hacks untersucht
Wichtige Erkenntnisse
- •Angreifer, die sich als Beamte der Financial Supervisory Service ausgaben, drangen über eine Backup-Login-Seite ohne SMS-Verifizierung in das Continuous Evaluation Support System des FSI ein und nutzten mehr als 100 IP-Adressen, um ihre Aktivität zu verschleiern.
- •Der Leak umfasste rund 300 Personaldatensätze mit Namen und Geburtsdaten, etwa 200 Verwaltungsformulare und rund 350 teilweise geschwärzte Nutzerdatensätze; mehr als 40 Finanzunternehmen wurden mit dem Vorfall in Verbindung gebracht.
- •Das FSI entdeckte den Vorfall am 9. November und meldete ihn der Aufsicht, die am 11. November eine Vor-Ort-Sicherheitsprüfung begann, während Ermittler untersuchen, wie das gefälschte Konto Zugriff auf Aufsichtsebene erhielt.
- •Es wurden keine Kreditinformationen von Kunden oder Transaktionsdaten als geleakt gemeldet; das FSI erklärte, seine Netzwerkdiagramme und Schwachstellentestergebnisse seien nicht betroffen, und sicherte eine Entschädigung für etwaige Schäden zu.
- •Der Vorfall erfolgt inmitten einer breiteren Welle von Cyberangriffen auf koreanische Finanzunternehmen, darunter Vorfälle bei Bithumb und Daishin Securities, mutmaßliche KI-gesteuerte Angriffe auf 20 Firmen mit rund 100.000 offengelegten Datensätzen sowie die Verlagerung der Kundentoken von Gopax in Cold Storage.
Das südkoreanische Financial Security Institute (FSI) – die Behörde, die die Untersuchung einer Welle von Bank-Hacks leitet – wurde selbst Ziel eines Hacks, wobei die Angreifer rund 300 Personaldatensätze von Beschäftigten des Finanzsektors erlangten.
Wie Hacker in die Behörde für_finanzielle Sicherheit eindringen
Der Angriff nutzte eine Schwachstelle im Login-System des Instituts aus. Der Angreifer gab sich als Beamter der Financial Supervisory Service (FSS) aus und erlangte Zugriff über eine Backup-Zugriffsseite, die für Situationen gedacht war, in denen eine SMS-Verifizierung nicht verfügbar ist – eine Seite, die die üblichen Kontrollen übersprang.
Anders als ein Standard-Firmenkonto, das nur eigene Dateien öffnen kann, konnte das gefälschte FSS-Konto der Angreifer Dokumente vieler Institutionen gleichzeitig einsehen. Die Angreifer wechselten laut Berichten ständig ihre IP-Adressen, um ihre Aktivität wie normalen Datenverkehr aussehen zu lassen, und nutzten letztlich mehr als 100 verschiedene Adressen.
Das FSI entdeckte den Vorfall am Montag, den 9. November, und meldete ihn nach der Abschaltung des betroffenen Systems an die Financial Services Commission und die Korea Internet & Security Agency.
Welche Daten offengelegt wurden
Die gehackte Plattform war das Continuous Evaluation Support System des FSI, in das Finanzunternehmen Dokumente für Sicherheitsüberprüfungen hochladen; etwa 3.000 Unternehmen durchlaufen diese Prüfung jährlich.
Zu dem Leak gehörten etwa 200 Verwaltungsformulare, mehr als 300 Personaldatensätze mit Namen und Geburtsdaten sowie rund 350 Nutzerdatensätze mit teilweise geschwärzten Namen und Telefonnummern. Die meisten persönlichen Daten stammten von Mitarbeitern, die Sicherheitsüberprüfungen bei Finanzfirmen durchführen, und bisher wurden mehr als 40 Unternehmen mit dem Vorfall in Verbindung gebracht.
Bislang gibt es keine Hinweise darauf, dass Kreditinformationen von Kunden oder Transaktionsdaten geleakt wurden. Das FSI erklärte, seine Netzwerkdiagramme und Schwachstellentestergebnisse seien nicht betroffen, und kündigte an, im Falle weiterer Schäden durch die offengelegten Informationen eine Entschädigung zu zahlen.
Die Polizei erhielt die IP-Daten des Angreifers am Dienstag, den 10. November. Einen Tag später begannen die Finanzaufsichtsbehörden mit einer Vor-Ort-Prüfung der FSI-Sicherheit. Die Ermittler versuchen noch herauszufinden, wie das gefälschte FSS-Konto legitimen Zugriff auf Aufsichtsebene erlangte.
Was der FSI-Hack für Banken und Krypto-Börsen bedeutet
Der Zeitpunkt ist für das FSI ungünstig, das die Cyberverteidigung der koreanischen Finanzindustrie leitet: Das Institut, dessen Prüfplattform jährlich Sicherheitsmeldungen von rund 3.000 Finanzunternehmen verarbeitet, sieht sich nun selbst einer Vor-Ort-Inspektion durch die Aufsicht ausgesetzt. Seit 2025 betreibt es zudem ein Team für die Sicherheit digitaler Assets unter der Leitung eines ethischen Hackers, um die Sicherheitsstandards an Krypto-Börsen anzuheben.
Koreanische Börsen wurden in diesem Jahr wiederholt gehackt. Am 27. Oktober meldete Bithumb, dass ein unbefugter Dritter in sein internes mobiles Groupware-System gelangt war und Mitarbeiterinformationen offengelegt hatte. Daishin Securities (KRX: 003540) teilte mit, dass Daten von 38.490 Kunden kompromittiert wurden.
Die Aufsicht zählte an einem einzigen Tag mehr als 4,4 Millionen Scanning-Versuche, überwiegend aus nordkoreanischen IP-Bereichen. Ein FSI-Beamter warnte jedoch voreilige Schlüsse, da IP-Daten gefälscht oder umgeleitet werden können und allein nicht beweisen können, wer hinter einem Angriff steckt.
Im Oktober teilte die Financial Services Commission mit, dass mutmaßliche KI-gesteuerte Angriffe 16 Firmen trafen, darunter Banken, Sparkassen und Krypto-Unternehmen. Bis Monatsende stieg die Zahl auf 20, wobei rund 100.000 Datensätze offengelegt wurden. Prüfer, die 555 Unternehmen untersuchten, fanden bei 130 davon Sicherheitsprobleme.
Am 6. November stellte Gopax, das Binance gehört, den gesamten Handel und alle Transfers ein und verlagerte Kundentoken in Offline-Cold-Storage. Die Börse war weder ausgeraubt noch gehackt worden, doch die Aufsicht empfahl nach einer Reihe von Vorfällen den Wechsel von Hot- zu Cold-Wallets, wie Cryptopolitan berichtete.
Quelle: Cryptopolitan
