Hackers breken in bij Zuid-Koreaanse FSI, het agentschap dat de golf van bankhacks onderzoekt
Belangrijkste punten
- •Aanvallers die zich voordeden als functionaris van de Financial Supervisory Service drongen het Continuous Evaluation Support System van het FSI binnen via een back-upinlogpagina die sms-verificatie omzeilde, waarbij meer dan 100 IP-adressen werden gebruikt om hun activiteit te maskeren.
- •De lek omvatte circa 300 persoonsgegevens met namen en geboortedata, ongeveer 200 administratieve formulieren en zo'n 350 deels gemaskeerde gebruikersgegevens, met meer dan 40 financiële bedrijven gekoppeld aan het incident.
- •Het FSI ontdekte de inbreuk op 9 november en meldde deze aan toezichthouders, die op 11 november een beveiligingsinspectie ter plaatse startten, terwijl onderzoekers uitzoeken hoe het nep-account toegang op toezichthoudersniveau verkreeg.
- •Er zijn geen gelekte kredietinformatie of transactiegegevens van klanten gemeld; het FSI verklaarde dat de netwerkdiagrammen en kwetsbaarheidstestresultaten onaangetast zijn en beloofde schadevergoeding voor eventuele gevolgschade.
- •De inbreuk valt samen met een bredere golf cyberaanvallen op Koreaanse financiële bedrijven, waaronder incidenten bij Bithumb en Daishin Securities, vermoedelijke AI-gedreven aanvallen op 20 bedrijven met circa 100.000 gelekte gegevens, en de verplaatsing van klanttokens door Gopax naar cold storage.
Het Financial Security Institute (FSI) van Zuid-Korea — het agentschap dat het onderzoek leidt naar een golf van bankhacks — is zelf getroffen door een inbreuk, waarbij aanvallers circa 300 persoonsgegevens bemachtigden van mensen die in de financiële sector werken.
Hoe hackers binnendrongen bij het agentschap voor financiële veiligheid
De inbraak misbruikte een zwakke plek in het inlogsysteem van het instituut. De aanvaller dook op als functionaris van de Financial Supervisory Service (FSS) en kreeg toegang via een back-uppagina die bedoeld is voor situaties waarin sms-verificatie niet beschikbaar is — een pagina die de gebruikelijke controles oversloeg.
In tegenstelling tot een standaard zakelijk account, dat alleen eigen bestanden kan openen, kon het nep-FSS-account dat de aanvallers gebruikten documenten van meerdere instellingen tegelijk inzien. De aanvallers wisselden naar verluidt voortdurend van IP-adres om hun activiteit als normaal verkeer te laten lijken en gebruikten uiteindelijk meer dan 100 verschillende adressen.
Het FSI ontdekte de inbreuk op maandag 9 november en meldde het incident, nadat het getroffen systeem was stilgelegd, bij de Financial Services Commission en het Korea Internet & Security Agency.
Welke gegevens werden blootgesteld
Het gehackte platform was het Continuous Evaluation Support System van het FSI, waar financiële bedrijven documenten uploaden voor securityreviews; jaarlijks doorlopen ongeveer 3.000 bedrijven deze beoordeling.
De lek omvatte ongeveer 200 administratieve formulieren, meer dan 300 persoonsgegevens met namen en geboortedata, en circa 350 gebruikersgegevens met deels gemaskeerde namen en telefoonnummers. De meeste persoonsgegevens behoorden toe aan medewerkers die securityreviews uitvoeren bij financiële bedrijven, en tot nu toe zijn meer dan 40 bedrijven aan de inbreuk gekoppeld.
Tot nu toe wijzen geen meldingen op gelekte kredietinformatie of transactiegegevens van klanten. Het FSI heeft verklaard dat de netwerkdiagrammen en kwetsbaarheidstestresultaten niet zijn aangetast, en het heeft toegezegd schadevergoeding te betalen als de gelekte informatie tot verdere schade leidt.
De politie kreeg op dinsdag 10 november de IP-gegevens van de aanvaller. Een dag later begonnen financiële toezichthouders met een inspectie ter plaatse van de beveiliging van het FSI. Onderzoekers proberen nog te achterhalen hoe het nep-FSS-account legitieme toegang op toezichthoudersniveau kreeg.
Wat de FSI-hack betekent voor banken en cryptobeurzen
Het tijdstip van de hack is onhandig voor het FSI, dat de cyberverdediging van de Koreaanse financiële sector leidt: het instituut waarvan het beoordelingsplatform jaarlijks securityaanmeldingen verwerkt van zo'n 3.000 financiële bedrijven, heeft nu zelf zijn beveiliging onder inspectie ter plaatse door toezichthouders. Sinds 2025 heeft het instituut bovendien een team voor digitale-activabezekerheid, geleid door een ethische hacker, om de beveiligingsnormen bij cryptobeurzen te verhogen.
Koreaanse beurzen zijn dit jaar herhaaldelijk gehackt. Op 27 oktober meldde Bithumb dat een onbevoegde partij het interne mobiele groupwaresysteem had bereikt en medewerkersgegevens had blootgesteld. Daishin Securities (KRX: 003540) meldde dat gegevens van 38.490 klanten waren gecompromitteerd.
Toezichthouders registreerden meer dan 4,4 miljoen scanpogingen op één dag, vooral uit Noord-Koreaanse IP-reeksen. Een functionaris van het FSI waarschuwde echter voor conclusies, aangezien IP-gegevens kunnen worden vervalst of omgeleid en op zichzelf niet kunnen bewijzen wie achter een aanval zit.
In oktober meldde de Financial Services Commission dat vermoedelijke AI-gedreven aanvallen 16 bedrijven troffen, waaronder banken, spaarbanken en cryptobedrijven. Eind van de maand was dat aantal gestegen naar 20, met circa 100.000 gelekte gegevens. Inspecteurs die 555 bedrijven beoordeelden, constateerden bij 130 daarvan beveiligingsproblemen.
Op 6 november stopte Gopax, dat eigendom is van Binance, alle handel en transacties en verplaatste klanttokens naar offline cold storage. De beurs was niet beroofd of gehackt, maar toezichthouders beaalden de overstap van hot naar cold wallets aan na een reeks inbraken, zoals Cryptopolitan meldde.
Bron: Cryptopolitan
