L'istituto di sicurezza finanziaria della Corea del Sud segnala una violazione del sistema di valutazione

Cosa ha trovato l'istituto

Il Financial Security Institute della Corea del Sud, l'agenzia pubblica che verifica la cybersicurezza di banche e società di intermediazione, ha rilevato il 9 novembre 2026 un accesso esterno non autorizzato nel sistema in cui gli istituti finanziari inviano i propri moduli di valutazione. I tecnici hanno chiuso il sito alle 14:19 ora di Seul e hanno segnalato l'incidente alla Financial Services Commission (FSC) e all'agenzia KISA.

L'istituto non è una banca né una società di intermediazione. È l'organismo tecnico che individua le vulnerabilità nei sistemi degli istituti finanziari e monitora le minacce, e indaga sulle violazioni quando avvengono. Il server compromesso era il canale di valutazione continua attraverso cui gli istituti caricano i moduli alla base dell'audit, dai modelli di consenso all'uso dei dati creditizi alla documentazione di conformità.

Il conteggio ufficiale

All'11 novembre l'istituto contava circa 200 moduli amministrativi, più di 300 dati personali al loro interno con nomi e date di nascita e poco più di 350 record utente con numeri di cellulare parzialmente mascherati. La maggior parte dei dati personali appartiene a dipendenti degli istituti che gestivano le valutazioni, non ai clienti.

I 48 istituti coinvolti sono cooperative agricole regionali e casse di credito, con almeno una cooperativa forestale. Nessuna grande banca commerciale compare nel conteggio. L'istituto valuta circa 3.000 istituti quest'anno e ha dichiarato che la piattaforma colpita è un canale esterno di scambio documenti, non la sua rete interna. Ha anche precisato che il sistema non gestisce transazioni dei clienti al dettaglio e che i numeri di registrazione dei residenti non compaiono nel materiale divulgato.

L'istituto ha detto di aver contattato le parti coinvolte per telefono, istituto per istituto, dalla notte del 10 novembre.

Una ricostruzione rivista

Nella sua prima versione l'istituto aveva dichiarato che il server compromesso non conteneva né analisi delle vulnerabilità né diagrammi di architettura. Una ricostruzione successiva, datata 12 novembre, ha corretto questa lettura: il server attaccato conteneva informazioni di sicurezza, tra cui diagrammi di configurazione dei sistemi di grandi istituti finanziari nazionali e parti delle valutazioni di vulnerabilità.

L'istituto ha ammesso che i dati erano presenti e ha detto che non sono usciti perché la macchina è stata spenta nelle fasi iniziali dell'attacco. La portata reale della violazione non è chiusa, afferma l'istituto, perché le indagini proseguono.

Come è entrato l'attaccante

Un'analisi successiva descrive un account falso con gli stessi privilegi del Financial Supervisory Service (FSS), creato sfruttando un difetto nella procedura di autorizzazione dell'istituto. Secondo quella ricostruzione, nessun account reale del FSS è stato compromesso. I 236 indirizzi IP usati nell'attacco sono tutti sudcoreani e nessuno corrisponde a precedenti tentativi di intrusione, si legge nello stesso rapporto.

Kwak Jin, professore di cybersicurezza all'Università di Ajou, ha paragonato il rischio a lasciare in vista la pianta di una casa, perché mostra da dove entrare e quale server colpire.

Indagini e tempi

La polizia metropolitana di Seul ha aperto un'indagine nella sua unità per i reati informatici su richiesta dell'istituto. La FSC ha inviato una squadra ispettiva nella sede dell'istituto mercoledì 11 novembre, con il supporto del personale del FSS.

Quattro giorni prima della violazione, il 5 novembre, il presidente della FSC Lee Eog-weon aveva riunito i rappresentanti del settore proprio nella sede dell'istituto per sollecitarli sulla cybersicurezza. Ha detto che il suo ufficio avrebbe ritenuto i vertici aziendali legalmente responsabili per gravi carenze gestionali e non avrebbe tollerato pratiche che aggravano l'impatto di un incidente, come trascurare rischi noti o affidarsi a ispezioni superficiali.

Non ci sono indicazioni che l'attaccante abbia reagito a quella riunione o che la violazione derivi dalle debolezze lì sollevate. L'istituto non ha detto quando si concluderanno le indagini.