Corée du Sud : l'institut de sécurité financière signale une intrusion dans son système d'évaluation

Ce que l'institut a constaté

L'institut de sécurité financière de Corée du Sud, l'agence publique qui audite la cybersécurité des banques et des sociétés de courtage, a détecté le 9 novembre 2026 un accès externe non autorisé au système où les établissements financiers déposent leurs formulaires d'évaluation. Les techniciens ont fermé le site à 14 h 19, heure de Séoul, et ont signalé l'incident à la Commission des services financiers (FSC) et à l'agence KISA.

L'institut n'est ni une banque ni une société de courtage. C'est l'organisme technique qui recherche les vulnérabilités dans les systèmes des établissements financiers, surveille les menaces et enquête sur les intrusions lorsqu'elles surviennent. Le serveur compromis était le canal d'évaluation continue par lequel les institutions déposent les formulaires qui sous-tendent l'audit, des modèles de consentement à l'information de crédit aux documents de conformité.

Le décompte officiel

Au 11 novembre, l'institut recensait environ 200 formulaires administratifs, plus de 300 données personnelles y figurant avec noms et dates de naissance, et un peu plus de 350 enregistrements d'utilisateurs avec des numéros de téléphone partiellement masqués. L'essentiel des données personnelles appartient à des salariés des institutions qui traitaient les évaluations, pas à des clients.

Les 48 institutions concernées sont des coopératives agricoles régionales et des caisses de crédit, dont au moins une coopérative forestière. Aucune grande banque commerciale n'apparaît dans le décompte. L'institut évalue environ 3 000 institutions cette année et indique que la plateforme touchée est un canal externe d'échange de documents, non son réseau interne. Il précise aussi que le système ne traite pas les transactions des clients particuliers et que les numéros d'enregistrement de résidents ne figurent pas dans les éléments divulgués.

L'institut indique avoir contacté les parties concernées par téléphone, institution par institution, à partir de la nuit du 10 novembre.

Une version révisée

Dans sa première version, l'institut affirmait que le serveur compromis ne contenait ni analyses de vulnérabilité ni schémas d'architecture. Une version ultérieure datée du 12 novembre a changé cette lecture : le serveur attaqué contenait bien des informations de sécurité, notamment des schémas de configuration des systèmes de grandes institutions financières nationales et des parties d'évaluations de vulnérabilité.

L'institut reconnaît que les données s'y trouvaient et affirme qu'elles n'ont pas quitté le serveur parce que la machine a été éteinte au début de l'attaque. L'ampleur réelle de l'intrusion n'est pas close, selon l'institut, car son enquête se poursuit.

Comment l'attaquant est entré

Une analyse ultérieure décrit un faux compte disposant des mêmes privilèges que le Service de supervision financière (FSS), créé en exploitant une faille dans le processus d'autorisation de l'institut. Aucun véritable compte du FSS n'a été compromis, selon cette analyse. Les 236 adresses IP utilisées dans l'attaque sont toutes sud-coréennes et aucune ne correspond à des tentatives d'intrusion antérieures, indique le même rapport.

Kwak Jin, professeur de cybersécurité à l'université Ajou, compare le risque à un plan d'étage laissé visible, car il montre par où entrer et quel serveur viser.

Enquêtes et calendrier

La police métropolitaine de Séoul a ouvert une enquête au sein de son unité de cybercriminalité à la demande de l'institut. La FSC a envoyé une équipe d'inspection au siège de l'institut le mercredi 11 novembre, avec l'appui de personnels du FSS.

Quatre jours avant l'intrusion, le 5 novembre, le président de la FSC, Lee Eog-weon, avait réuni des représentants du secteur au siège même de l'institut pour les presser sur la cybersécurité. Il avait déclaré que son bureau tiendrait les dirigeants juridiquement responsables des défaillances graves de gestion et ne tolérerait pas les pratiques qui aggravent l'impact d'un incident, comme négliger des risques connus ou se contenter d'inspections superficielles.

Rien n'indique que l'attaquant ait réagi à cette réunion ni que l'intrusion découle des faiblesses alors évoquées. L'institut n'a pas indiqué quand son enquête s'achèverait.