L'Institut de sécurité financière (FSI) de Corée du Sud — l'agence qui dirige l'enquête sur une vague de piratages bancaires — a lui-même été compromis, les attaquants ayant obtenu environ 300 données personnelles appartenant à des personnes travaillant dans le secteur financier.

Comment des pirates se sont introduits dans l'agence de sécurité financière

L'intrusion a exploité une faille dans le système de connexion de l'institut. L'attaquant s'est fait passer pour un responsable du Service de supervision financière (FSS) et a obtenu l'accès via une page d'accès de secours destinée aux situations où la vérification par SMS n'est pas disponible — une page qui contournait les contrôles habituels.

Contrairement à un compte d'entreprise standard, qui ne peut ouvrir que ses propres fichiers, le faux compte FSS utilisé par les attaquants pouvait consulter les documents de nombreuses institutions à la fois. Selon les informations rapportées, les attaquants ont continuellement changé d'adresses IP pour faire passer leur activité pour un trafic normal, utilisant finalement plus de 100 adresses différentes.

Le FSI a découvert la violation le lundi 9 novembre et, après avoir fermé le système concerné, a signalé l'incident à la Commission des services financiers et à l'Agence coréenne d'Internet et de sécurité (KISA).

Quelles données ont été exposées

La plateforme piratée était le Continuous Evaluation Support System du FSI, où les entreprises financières téléversent des documents pour les revues de sécurité ; environ 3 000 entreprises passent par cette revue chaque année.

La fuite comprenait environ 200 formulaires administratifs, plus de 300 données personnelles contenant des noms et des dates de naissance, et environ 350 enregistrements d'utilisateurs avec des noms et des numéros de téléphone partiellement masqués. La plupart des données personnelles appartenaient à des employés chargés des revues de sécurité dans les entreprises financières, et plus de 40 entreprises ont jusqu'à présent été liées à l'incident.

Aucun rapport n'indique à ce jour que des informations de crédit ou des enregistrements de transactions de clients ont fuité. Le FSI a indiqué que ses schémas réseau et résultats de tests de vulnérabilité n'avaient pas été affectés, et il s'est engagé à verser une indemnisation si les informations divulguées causaient un préjudice supplémentaire.

Les données IP de l'attaquant ont été remises à la police le mardi 10 novembre. Le lendemain, les régulateurs financiers ont commencé une inspection sur place de la sécurité du FSI. Les enquêteurs tentent toujours de déterminer comment le faux compte FSS a obtenu un accès légitime de niveau régulateur.

Ce que le piratage du FSI signifie pour les banques et les plateformes d'échange de cryptomonnaies

Le moment est embarrassant pour le FSI, qui dirige la cyberdéfense du secteur financier coréen : l'institut dont la plateforme de revue traite les déclarations de sécurité d'environ 3 000 entreprises financières par an voit désormais sa propre sécurité placée sous inspection sur place par les régulateurs. Depuis 2025, il gère également une équipe dédiée à la sécurité des actifs numériques, dirigée par un hacker éthique, afin de relever les normes de sécurité des plateformes d'échange de cryptomonnaies.

Les plateformes coréennes ont été piratées à plusieurs reprises cette année. Le 27 octobre, Bithumb a signalé qu'une partie non autorisée avait accédé à son système interne de groupware mobile et exposé des informations sur ses employés. Daishin Securities (KRX : 003540) a indiqué que les données de 38 490 clients avaient été compromises.

Les régulateurs ont comptabilisé plus de 4,4 millions de tentatives de scan en une seule journée, provenant principalement de plages d'adresses IP nord-coréennes. Toutefois, un responsable du FSI a mis en garde contre toute conclusion hâtive, car les données IP peuvent être falsifiées ou redirigées et ne peuvent à elles seules prouver qui est à l'origine d'une attaque.

En octobre, la Commission des services financiers a indiqué que des attaques présumées pilotées par l'IA avaient touché 16 entreprises, dont des banques, des caisses d'épargne et des sociétés de cryptomonnaies. Ce chiffre est monté à 20 d'ici la fin du mois, avec environ 100 000 enregistrements exposés. Les inspecteurs ayant examiné 555 entreprises ont trouvé des problèmes de sécurité dans 130 d'entre elles.

Le 6 novembre, Gopax, détenue par Binance, a suspendu toutes les transactions et les transferts et a déplacé les tokens des clients vers un stockage à froid hors ligne. La plateforme n'avait pas été volée ni piratée, mais les régulateurs ont recommandé le passage des hot wallets aux cold wallets après une série d'intrusions, comme l'a rapporté Cryptopolitan.

Source : Cryptopolitan