El Instituto de Seguridad Financiera (FSI) de Corea del Sur —la agencia que lidera la investigación sobre una ola de ataques informáticos a bancos— fue él mismo vulnerado, y los atacantes obtuvieron alrededor de 300 registros personales de personas que trabajan en el sector financiero.

Cómo los hackers ingresaron a la agencia de seguridad financiera

La intrusión explotó un punto débil en el sistema de inicio de sesión del instituto. El atacante se hizo pasar por un funcionario del Servicio de Supervisión Financiera (FSS) y obtuvo acceso a través de una página de acceso alternativa destinada a situaciones en las que la verificación por mensaje de texto no está disponible, una página que omitía los controles habituales.

A diferencia de una cuenta corporativa estándar, que solo puede abrir sus propios archivos, la cuenta falsa del FSS utilizada por los atacantes podía ver documentos de muchas instituciones a la vez. Según se informó, los atacantes cambiaron constantemente sus direcciones IP para que su actividad pareciera tráfico normal, llegando a utilizar más de 100 direcciones distintas.

El FSI descubrió la brecha el lunes 9 de noviembre y, tras apagar el sistema afectado, reportó el incidente a la Comisión de Servicios Financieros y a la Agencia de Internet y Seguridad de Corea.

Qué datos quedaron expuestos

La plataforma atacada fue el Continuous Evaluation Support System del FSI, donde las empresas financieras cargan documentos para revisiones de seguridad; alrededor de 3,000 empresas pasan por esta revisión cada año.

La filtración incluyó unos 200 formularios administrativos, más de 300 registros personales con nombres y fechas de nacimiento, y cerca de 350 registros de usuarios con nombres y números de teléfono parcialmente ocultos. La mayoría de los datos personales pertenecía a empleados que manejan revisiones de seguridad en empresas financieras, y más de 40 empresas han sido vinculadas hasta ahora con la brecha.

Ningún informe indica hasta ahora que se hayan filtrado datos crediticios de clientes ni registros de transacciones. El FSI ha señalado que sus diagramas de red y los resultados de pruebas de vulnerabilidad no fueron afectados, y prometió compensar si la información filtrada causa daños adicionales.

La policía recibió los datos de IP del atacante el martes 10 de noviembre. Al día siguiente, los reguladores financieros iniciaron una inspección presencial de la seguridad del FSI. Los investigadores aún intentan determinar cómo la cuenta falsa del FSS obtuvo acceso legítimo a nivel de regulador.

Qué significa el ataque al FSI para los bancos y los exchanges de criptomonedas

El momento es incómodo para el FSI, que ha liderado la defensa cibernética de la industria financiera de Corea: el instituto cuya plataforma de revisión gestiona presentaciones de seguridad de aproximadamente 3,000 empresas financieras al año ahora tiene su propia seguridad bajo inspección presencial por parte de los reguladores. Desde 2025, también opera un equipo de seguridad de activos digitales, liderado por un hacker ético, para elevar los estándares de seguridad en los exchanges de criptomonedas.

Los exchanges coreanos han sido atacados repetidamente este año. El 27 de octubre, Bithumb reportó que una parte no autorizada había accedido a su sistema interno de groupware móvil y expuesto información de empleados. Daishin Securities (KRX: 003540) dijo que los datos de 38,490 clientes fueron comprometidos.

Los reguladores contabilizaron más de 4.4 millones de intentos de escaneo en un solo día, en su mayoría desde rangos de IP de Corea del Norte. Sin embargo, un funcionario del FSI advirtió contra sacar conclusiones, ya que los datos de IP pueden ser falsificados o redirigidos y por sí solos no pueden probar quién está detrás de un ataque.

En octubre, la Comisión de Servicios Financieros dijo que presuntos ataques impulsados por IA afectaron a 16 empresas, incluidos bancos, cajas de ahorro y negocios de criptomonedas. Esa cifra subió a 20 al final del mes, con unos 100,000 registros expuestos. Los inspectores que revisaron 555 empresas encontraron problemas de seguridad en 130 de ellas.

El 6 de noviembre, Gopax, propiedad de Binance, detuvo todas las operaciones y transferencias y movió los tokens de los clientes a almacenamiento frío fuera de línea. El exchange no había sido robado ni vulnerado, pero los reguladores recomendaron el cambio de hot wallets a cold wallets tras una serie de brechas, según informó Cryptopolitan.

Fuente: Cryptopolitan