Институт финансовой безопасности Южной Кореи сообщил о взломе системы оценки

Что обнаружил институт

Институт финансовой безопасности Южной Кореи — государственное агентство, которое проверяет кибербезопасность банков и брокерских компаний, — 9 ноября 2026 года обнаружил несанкционированный внешний доступ в систему, куда финансовые организации подают свои оценочные формы. Специалисты отключили сайт в 14:19 по сеульскому времени и сообщили об инциденте Комиссии по финансовым услугам (FSC) и агентству KISA.

Институт не является банком или брокером. Это технический орган, который ищет уязвимости в системах финансовых организаций и отслеживает угрозы, а также расследует взломы, когда они происходят. Скомпрометированный сервер был каналом непрерывной оценки, через который организации загружают формы, лежащие в основе аудита, — от моделей согласия на обработку кредитной информации до документов о соответствии требованиям.

Официальный подсчёт

По состоянию на 11 ноября институт насчитал около 200 административных форм, более 300 личных записей в них с именами и датами рождения и чуть более 350 записей пользователей с частично замаскированными номерами мобильных телефонов. Большая часть персональных данных принадлежит сотрудникам организаций, которые занимались оценками, а не клиентам.

48 затронутых организаций — это региональные сельскохозяйственные кооперативы и кредитные союзы, среди них как минимум один лесной кооператив. Крупных коммерческих банков в списке нет. В этом году институт оценивает около 3000 организаций и заявил, что затронутая платформа — внешний канал обмена документами, а не его внутренняя сеть. Он также сообщил, что система не обрабатывает транзакции розничных клиентов и что регистрационные номера жителей в утёкших материалах не фигурировали.

Институт сообщил, что с ночи 10 ноября связывался с затронутыми сторонами по телефону, организацию за организацией.

Пересмотренная версия

В первой версии институт заявил, что на скомпрометированном сервере не было ни анализа уязвимостей, ни схем архитектуры. Более позднее сообщение от 12 ноября опровергло эту трактовку: на атакованном сервере всё же была информация о безопасности, включая схемы конфигурации систем крупных отечественных финансовых организаций и части оценок уязвимостей.

Институт признал, что данные там были, и заявил, что они не ушли, поскольку машину отключили в начале атаки. Реальный масштаб взлома не закрыт, говорит институт, поскольку расследование продолжается.

Как проник атакующий

Более поздний анализ описывает поддельную учётную запись с теми же правами, что у Службы финансового надзора (FSS), созданную через уязвимость в процессе авторизации института. Настоящая учётная запись FSS не была скомпрометирована, согласно этому описанию. Все 236 IP-адресов, использованных в атаке, южнокорейские, и ни один не совпадает с прежними попытками вторжения, говорится в том же отчёте.

Квак Джин, профессор кибербезопасности в Университете Аджу, сравнил риск с оставленным на виду планом этажа дома: он показывает, где войти и по какому серверу бить.

Расследования и хронология

Столичная полиция Сеула по запросу института начала расследование в своём подразделении по киберпреступности. FSC направила инспекционную группу в штаб-квартиру института в среду 11 ноября, сотрудники FSS помогали.

За четыре дня до взлома, 5 ноября, председатель FSC Ли Ок Вон собрал представителей отрасли в штаб-квартире самого института, чтобы надавить на них по вопросам кибербезопасности. Он сказал, что его ведомство будет привлекать руководителей к юридической ответственности за серьёзные провалы в управлении и не потерпит практик, усиливающих последствия инцидента, — например, игнорирования известных рисков или поверхностных проверок.

Нет признаков того, что атакующий отреагировал на ту встречу или что взлом связан с поднятыми там слабыми местами. Институт не сообщил, когда завершит расследование.