Südkoreas Institut für Finanzsicherheit meldet Zugriff auf Bewertungssystem

Was das Institut feststellte

Südkoreas Institut für Finanzsicherheit, die öffentliche Behörde, die die Cybersicherheit von Banken und Brokerfirmen prüft, entdeckte am 9. November 2026 unbefugten externen Zugriff auf das System, in dem Finanzunternehmen ihre Bewertungsformulare einreichen. Techniker schalteten die Seite um 14:19 Uhr Ortszeit Seoul ab und meldeten den Vorfall der Finanzaufsicht (FSC) und der Behörde KISA.

Das Institut ist keine Bank und kein Broker. Es ist die technische Stelle, die Schwachstellen in den Systemen von Finanzunternehmen aufspürt, Bedrohungen beobachtet und Sicherheitsverletzungen untersucht, wenn sie geschehen. Der betroffene Server war der Kanal für die laufende Bewertung, über den Institute die Formulare hinter der Prüfung hochladen, von Zustimmungsmodellen zur Kreditauskunft bis zu Compliance-Unterlagen.

Die offizielle Zählung

Stand 11. November zählte das Institut rund 200 Verwaltungsformulare, mehr als 300 darin enthaltene personenbezogene Datensätze mit Namen und Geburtsdaten sowie etwas mehr als 350 Nutzerdatensätze mit teilweise maskierten Mobilfunknummern. Die meisten personenbezogenen Daten gehören Beschäftigten der Institute, die die Bewertungen bearbeiteten, nicht Kunden.

Bei den 48 betroffenen Instituten handelt es sich um regionale Landwirtschaftsgenossenschaften und Kreditgenossenschaften, darunter mindestens eine Forstgenossenschaft. Keine große Geschäftsbank erscheint in der Zählung. Das Institut bewertet in diesem Jahr etwa 3.000 Institute und erklärte, die betroffene Plattform sei ein externer Kanal für den Dokumentenaustausch, nicht sein internes Netzwerk. Zudem verarbeite das System keine Transaktionen von Privatkunden, und Wohnsitzregisternummern seien nicht in dem geleakten Material aufgetaucht.

Das Institut erklärte, es habe betroffene Stellen ab der Nacht des 10. November Institut für Institut telefonisch kontaktiert.

Eine korrigierte Darstellung

In seiner ersten Version erklärte das Institut, auf dem betroffenen Server hätten weder Schwachstellenanalysen noch Architekturdiagramme gelegen. Ein späterer Bericht vom 12. November widerlegte diese Lesart: Auf dem angegriffenen Server lagen demnach Sicherheitsinformationen, darunter Konfigurationsdiagramme der Systeme großer inländischer Finanzinstitute und Teile von Schwachstellenanalysen.

Das Institut räumte ein, dass die Daten dort lagen, und erklärte, sie seien nicht abgeflossen, weil der Rechner früh im Angriff abgeschaltet wurde. Der tatsächliche Umfang des Vorfalls sei noch nicht geklärt, so das Institut, da die Untersuchung andauere.

Wie der Angreifer hineinkam

Eine spätere Analyse beschreibt ein gefälschtes Konto mit denselben Rechten wie die Finanzaufsichtsbehörde FSS, das durch Ausnutzung einer Schwachstelle im Autorisierungsprozess des Instituts angelegt wurde. Ein echtes FSS-Konto sei nicht kompromittiert worden, heißt es in dieser Darstellung. Die 236 bei dem Angriff verwendeten IP-Adressen stammten alle aus Südkorea, und keine stimme mit früheren Eindringversuchen überein, so derselbe Bericht.

Kwak Jin, Professor für Cybersicherheit an der Ajou University, verglich das Risiko damit, den Grundriss eines Hauses offen sichtbar zu lassen, weil er zeigt, wo man eindringt und welchen Server man angreift.

Ermittlungen und Zeitpunkt

Die Seouler Stadtpolizei nahm auf Bitte des Instituts Ermittlungen in ihrer Abteilung für Cyberkriminalität auf. Die FSC schickte am Mittwoch, dem 11. November, ein Prüfteam in die Zentrale des Instituts, unterstützt von FSS-Mitarbeitern.

Vier Tage vor dem Vorfall, am 5. November, hatte FSC-Chef Lee Eog-weon Vertreter der Branche in der Zentrale des Instituts selbst versammelt, um sie zur Cybersicherheit zu drängen. Er sagte, seine Behörde werde Vorstandsvorsitzende bei schweren Managementfehlern rechtlich zur Verantwortung ziehen und Praktiken nicht dulden, die die Folgen eines Vorfalls verschlimmern, etwa das Ignorieren bekannter Risiken oder das Vertrauen auf oberflächliche Prüfungen.

Es gibt keinen Hinweis darauf, dass der Angreifer auf dieses Treffen reagierte oder dass der Vorfall auf die dort angesprochenen Schwächen zurückgeht. Wann die Untersuchung des Instituts abgeschlossen wird, ist nicht bekannt.