Południowokoreański Instytut Bezpieczeństwa Finansowego (FSI) — instytucja prowadząca śledztwo w sprawie fali włamań do banków — sam padł ofiarą ataku, a napastnicy uzyskali około 300 rekordów osobowych należących do osób pracujących w sektorze finansowym.

Jak hakerzy włamali się do instytucji bezpieczeństwa finansowego

Włamanie wykorzystało słaby punkt systemu logowania instytutu. Napastnik podszywał się pod urzędnika Komisji Nadzoru Finansowego (FSS) i uzyskał dostęp poprzez zapasową stronę logowania, przeznaczoną na sytuacje, gdy weryfikacja SMS jest niedostępna — strona ta pomijała standardowe kontrole.

W przeciwieństwie do zwykłego konta firmowego, które może otwierać wyłącznie własne pliki, fałszywe konto FSS używane przez napastników pozwalało na przeglądanie dokumentów wielu instytucji jednocześnie. Według doniesień napastnicy stale zmieniali adresy IP, aby ich działalność wyglądała jak normalny ruch, ostatecznie używając ponad 100 różnych adresów.

FSI wykrył włamanie w poniedziałek 9 listopada i po wyłączeniu dotkniętego systemu zgłosił incydent Komisji Usług Finansowych oraz Korea Internet & Security Agency.

Jakie dane ujawniono

Zhakowaną platformą był FSI Continuous Evaluation Support System, do którego firmy finansowe przesyłają dokumenty do przeglądów bezpieczeństwa; przez ten przegląd przechodzi rocznie około 3 000 firm.

Wyciek objął około 200 formularzy administracyjnych, ponad 300 rekordów osobowych zawierających imiona i nazwiska oraz daty urodzenia, a także około 350 rekordów użytkowników z częściowo ukrytymi nazwiskami i numerami telefonów. Większość danych osobowych należała do pracowników zajmujących się przeglądami bezpieczeństwa w firmach finansowych, a z incydentem powiązano dotychczas ponad 40 spółek.

Dotychczas nie ma doniesień o wycieku danych kredytowych ani rekordów transakcyjnych klientów. FSI oświadczył, że schematy sieci oraz wyniki testów podatności nie zostały naruszone, i zobowiązał się do wypłaty odszkodowań, jeśli wyciek informacji przyniesie dalsze szkody.

Policja otrzymała dane IP napastnika we wtorek 10 listopada. Następnego dnia regulatorzy finansowi rozpoczęli inspekcję zabezpieczeń FSI na miejscu. Śledczy nadal starają się ustalić, w jaki sposób fałszywe konto FSS uzyskało uprawnienia na poziomie regulatora.

Co włamanie do FSI oznacza dla banków i giełd kryptowalut

Termin ataku jest niefortunny dla FSI, który od lat kieruje cyberobroną koreańskiego sektora finansowego: instytut, którego platforma przeglądowa obsługuje zabezpieczenia dokumentów od około 3 000 firm finansowych rocznie, ma obecnie własne zabezpieczenia poddane inspekcji regulatorów na miejscu. Od 2025 roku instytut prowadzi również zespół ds. bezpieczeństwa aktywów cyfrowych, kierowany przez hakera etycznego, którego celem jest podniesienie standardów bezpieczeństwa giełd kryptowalut.

Koreańskie giełdy były w tym roku wielokrotnie atakowane. 27 października Bithumb poinformował, że nieuprawniona osoba uzyskała dostęp do wewnętrznego mobilnego systemu groupware i ujawniła dane pracowników. Daishin Securities (KRX: 003540) poinformował o naruszeniu danych 38 490 klientów.

Regulatorzy odnotowali ponad 4,4 miliona prób skanowania w ciągu jednego dnia, głównie z koreańskich (północnokoreańskich) zakresów IP. Jednak urzędnik FSI ostrzegł przed wyciąganiem wniosków, ponieważ dane IP można sfałszować lub przekierować i same w sobie nie dowodzą, kto stoi za atakiem.

W październiku Komisja Usług Finansowych poinformowała, że podejrzewane ataki z użyciem AI dotknęły 16 firm, w tym banki, banki oszczędnościowe i firmy kryptowalutowe. Do końca miesiąca liczba ta wzrosła do 20, a ujawniono około 100 000 rekordów. Inspektorzy, którzy przebadali 555 firm, wykryli problemy z bezpieczeństwem w 130 z nich.

6 listopada Gopax, należący do Binance, wstrzymał cały handel i transfery oraz przeniósł tokeny klientów do offline'owego zimnego magazynu. Giełda nie została okradziona ani zhakowana, jednak regulatorzy zalecili przejście z portfeli hot na cold po serii włamań, jak doniósł Cryptopolitan.

Źródło: Cryptopolitan