Koreański instytut bezpieczeństwa finansowego zgłasza włamanie do systemu ocen

Co ustalił instytut

Koreański Instytut Bezpieczeństwa Finansowego, publiczna agencja badająca cyberbezpieczeństwo banków i domów maklerskich, wykrył 9 listopada 2026 r. nieautoryzowany dostęp zewnętrzny do systemu, w którym firmy finansowe przesyłają formularze ocen. Technicy wyłączyli stronę o 14:19 czasu seulskiego i zgłosili incydent Komisji Usług Finansowych (FSC) oraz agencji KISA.

Instytut nie jest bankiem ani domem maklerskim. To ciało techniczne, które szuka luk w systemach firm finansowych i monitoruje zagrożenia, a gdy dochodzi do włamania, prowadzi jego badanie. Zaatakowany serwer był kanałem ocen ciągłych, przez który instytucje wgrywają formularze stanowiące podstawę audytu, od wzorów zgód na przetwarzanie informacji kredytowej po dokumentację zgodności.

Oficjalne zestawienie

Na 11 listopada instytut doliczył się około 200 formularzy administracyjnych, ponad 300 rekordów osobowych z imionami i datami urodzenia oraz nieco ponad 350 rekordów użytkowników z częściowo zamaskowanymi numerami telefonów. Większość danych osobowych należy do pracowników instytucji zajmujących się ocenami, nie do klientów.

48 poszkodowanych instytucji to regionalne spółdzielnie rolnicze i kasy kredytowe, w tym co najmniej jedna spółdzielnia leśna. W zestawieniu nie ma żadnego dużego banku komercyjnego. Instytut ocenia w tym roku około 3000 instytucji i podał, że poszkodowana platforma to zewnętrzny kanał wymiany dokumentów, a nie jego sieć wewnętrzna. Zaznaczył też, że system nie obsługuje transakcji klientów detalicznych, a w wykradzionych materiałach nie było numerów rejestru mieszkańców.

Instytut podał, że od nocy 10 listopada kontaktował się telefonicznie z poszkodowanymi, instytucja po instytucji.

Skorygowana relacja

W pierwszej wersji instytut twierdził, że zaatakowany serwer nie zawierał ani analiz podatności, ani schematów architektury. Późniejsza relacja z 12 listopada zmieniła ten obraz: zaatakowany serwer zawierał informacje o bezpieczeństwie, w tym schematy konfiguracji systemów dużych krajowych instytucji finansowych i części ocen podatności.

Instytut przyznał, że dane tam były, i podał, że nie wydostały się, bo maszynę wyłączono na wczesnym etapie ataku. Według instytutu rzeczywisty zakres włamania nie jest zamknięty, bo śledztwo trwa.

Jak wszedł napastnik

Późniejsza analiza opisuje fałszywe konto o uprawnieniach takich jak konto Nadzoru Finansowego (FSS), utworzone przez wykorzystanie luki w procesie autoryzacji instytutu. Według tej relacji żadne prawdziwe konto FSS nie zostało przejęte. Ten sam raport podaje, że 236 adresów IP użytych w ataku są wszystkie koreańskie i żaden nie pokrywa się z wcześniejszymi próbami włamań.

Kwak Jin, profesor cyberbezpieczeństwa na Uniwersytecie Ajou, porównał to ryzyko do pozostawienia w widocznym miejscu planu domu, bo pokazuje, którędy wejść i w który serwer uderzyć.

Śledztwa i kalendarium

Seulska policja wszczęła śledztwo w wydziale przestępczości komputerowej na wniosek instytutu. FSC wysłała zespół kontrolny do siedziby instytutu w środę 11 listopada, a pracownicy FSS pomagali w kontroli.

Cztery dni przed włamaniem, 5 listopada, przewodniczący FSC Lee Eog-weon zebrał przedstawicieli branży w siedzibie samego instytutu, by naciskać na cyberbezpieczeństwo. Zapowiedział, że jego urząd pociągnie prezesów do odpowiedzialności prawnej za poważne błędy w zarządzaniu i nie będzie tolerować praktyk pogarszających skutki incydentu, takich jak lekceważenie znanych ryzyk czy poleganie na powierzchownych kontrolach.

Nic nie wskazuje na to, by napastnik zareagował na to spotkanie ani by włamanie wynikało ze słabości tam podniesionych. Instytut nie podał, kiedy zakończy śledztwo.