Instituto de segurança financeira da Coreia do Sul relata invasão ao sistema de avaliação

O que o instituto encontrou

O Instituto de Segurança Financeira da Coreia do Sul, agência pública que audita a segurança cibernética de bancos e corretoras, detectou em 9 de novembro de 2026 acesso externo não autorizado ao sistema em que as instituições financeiras enviam seus formulários de avaliação. Técnicos desativaram o site às 14h19, horário de Seul, e comunicaram o incidente à Comissão de Serviços Financeiros (FSC) e à agência KISA.

O instituto não é um banco nem uma corretora. É o órgão técnico que encontra vulnerabilidades nos sistemas das instituições financeiras e monitora ameaças, além de investigar invasões quando ocorrem. O servidor comprometido era o canal de avaliação contínua pelo qual as instituições enviam os formulários que sustentam a auditoria, de modelos de consentimento para informações de crédito a documentação de conformidade.

A contagem oficial

Até 11 de novembro, o instituto contabilizava cerca de 200 formulários administrativos, mais de 300 registros pessoais neles contidos, com nomes e datas de nascimento, e pouco mais de 350 registros de usuários com números de celular parcialmente mascarados. A maior parte dos dados pessoais pertence a funcionários das instituições que lidavam com as avaliações, não a clientes.

As 48 instituições afetadas são cooperativas agrícolas regionais e cooperativas de crédito, com pelo menos uma cooperativa florestal. Nenhum grande banco comercial aparece na contagem. O instituto avalia cerca de 3 mil instituições neste ano e afirmou que a plataforma afetada é um canal externo de troca de documentos, não sua rede interna. Também disse que o sistema não processa transações de clientes pessoa física e que números de registro de residente não apareceram no material vazado.

O instituto afirmou que contatou as partes afetadas por telefone, instituição por instituição, desde a noite de 10 de novembro.

Um relato revisado

Em sua primeira versão, o instituto disse que o servidor comprometido não continha análises de vulnerabilidade nem diagramas de arquitetura. Um relato posterior, datado de 12 de novembro, contrariou essa leitura: o servidor atacado continha informações de segurança, incluindo diagramas de configuração dos sistemas de grandes instituições financeiras nacionais e partes de avaliações de vulnerabilidade.

O instituto reconheceu que os dados estavam lá e disse que não saíram porque a máquina foi desligada no início do ataque. O escopo real da invasão não está fechado, segundo o instituto, porque sua investigação continua.

Como o atacante entrou

Uma análise posterior descreve uma conta falsa com os mesmos privilégios do Serviço de Supervisão Financeira (FSS), criada explorando uma falha no processo de autorização do instituto. Nenhuma conta real do FSS foi comprometida, segundo esse relato. Os 236 endereços IP usados no ataque são todos sul-coreanos e nenhum coincide com tentativas de intrusão anteriores, diz o mesmo relatório.

Kwak Jin, professor de segurança cibernética na Universidade Ajou, comparou o risco a deixar a planta de uma casa à vista, porque ela mostra por onde entrar e qual servidor atingir.

Investigações e cronologia

A Polícia Metropolitana de Seul abriu investigação em sua unidade de crimes cibernéticos a pedido do instituto. A FSC enviou uma equipe de inspeção à sede do instituto na quarta-feira, 11 de novembro, com apoio de funcionários do FSS.

Quatro dias antes da invasão, em 5 de novembro, o presidente da FSC, Lee Eog-weon, reuniu representantes do setor na própria sede do instituto para cobrá-los sobre segurança cibernética. Ele disse que seu órgão responsabilizaria legalmente os executivos-chefes por falhas graves de gestão e não toleraria práticas que agravem o impacto de um incidente, como negligenciar riscos conhecidos ou confiar em inspeções superficiais.

Não há indício de que o atacante tenha reagido a essa reunião ou de que a invasão decorra das fragilidades ali apontadas. O instituto não disse quando sua investigação será concluída.