Институт финансовой безопасности Южной Кореи (FSI) — агентство, расследующее волну взломов банков, — сам подвергся кибератаке: злоумышленники получили около 300 персональных записей сотрудников финансового сектора.

Как хакеры проникли в агентство финансовой безопасности

При вторжении была использована уязвимость в системе входа института. Атакующий выдавал себя за сотрудника Службы финансового надзора (FSS) и получил доступ через резервную страницу входа, предназначенную для случаев, когда подтверждение по SMS недоступно, — эта страница пропускала стандартные проверки.

В отличие от обычной корпоративной учетной записи, которая может открывать только собственные файлы, поддельная учетная запись FSS позволяла просматривать документы множества учреждений одновременно. По имеющимся данным, злоумышленники постоянно меняли IP-адреса, чтобы их активность выглядела как обычный трафик, и в итоге использовали более 100 разных адресов.

FSI обнаружил взлом в понедельник, 9 ноября, и после отключения затронутой системы сообщил об инциденте Комиссии по финансовым услугам и Корейскому агентству интернета и безопасности (KISA).

Какие данные были раскрыты

Взломанной платформой оказалась Continuous Evaluation Support System FSI, куда финансовые компании загружают документы для проверок безопасности; ежегодно такую проверку проходит около 3 000 компаний.

Утечка включала около 200 административных форм, более 300 персональных записей с именами и датами рождения, а также около 350 пользовательских записей с частично скрытыми именами и номерами телефонов. Большая часть персональных данных принадлежала сотрудникам, занимающимся проверками безопасности в финансовых компаниях, и пока с инцидентом связано более 40 компаний.

Пока нет сообщений об утечке клиентской кредитной информации или транзакционных записей. FSI заявил, что схемы его сети и результаты тестов на уязвимости не были затронуты, и пообещал выплатить компенсацию, если утечка информации приведет к дальнейшему ущербу.

Полиции были переданы IP-данные атакующего во вторник, 10 ноября. На следующий день финансовые регуляторы начали выездную проверку безопасности FSI. Следователи все еще пытаются выяснить, как поддельная учетная запись FSS получила законный доступ уровня регулятора.

Что означает взлом FSI для банков и криптобирж

Инцидент произошел в неудобный для FSI момент: институт, который отвечает за киберзащиту финансовой отрасли Кореи, — чья платформа проверок ежегодно обрабатывает документы по безопасности примерно от 3 000 финансовых компаний — теперь сам находится под выездной проверкой регуляторов. С 2025 года институт также управляет командой по безопасности цифровых активов под руководством этического хакера, задачей которой является повышение стандартов безопасности криптобирж.

В этом году корейские биржи неоднократно подвергались взломам. 27 октября Bithumb сообщил, что неавторизованная сторона получила доступ к его внутренней мобильной системе groupware и раскрыла информацию о сотрудниках. Daishin Securities (KRX: 003540) сообщила о компрометации данных 38 490 клиентов.

Регуляторы зафиксировали более 4,4 млн попыток сканирования за один день, в основном с северо-корейских диапазонов IP. Однако сотрудник FSI предупредил против поспешных выводов, поскольку IP-данные могут быть подделаны или перенаправлены и сами по себе не могут доказать, кто стоит за атакой.

В октябре Комиссия по финансовым услугам сообщила, что подозреваемые атаки с использованием ИИ затронули 16 компаний, включая банки, сберегательные банки и криптобизнес. К концу месяца это число выросло до 20, при этом было раскрыто около 100 000 записей. Инспекторы, проверившие 555 компаний, обнаружили проблемы с безопасностью в 130 из них.

6 ноября Gopax, принадлежащая Binance, остановила все операции торговли и перевода и перевела токены клиентов в автономное холодное хранение. Биржа не была ограблена или взломана, но регуляторы рекомендовали переход с горячих кошельков на холодные после серии взломов, как сообщала Cryptopolitan.

Источник: Cryptopolitan