Институт финансовой безопасности Южной Кореи сообщил о взломе системы оценки

Что обнаружил институт

Институт финансовой безопасности Южной Кореи, государственное агентство, которое проверяет кибербезопасность банков и брокерских компаний, 9 ноября 2026 года обнаружил несанкционированный внешний доступ в систему, куда финансовые компании подают свои оценочные формы. Специалисты отключили сайт в 14:19 по сеульскому времени и сообщили об инциденте в Комиссию по финансовым услугам (FSC) и в агентство KISA.

Институт не является банком или брокером. Это технический орган, который ищет уязвимости в системах финансовых компаний и отслеживает угрозы, а также расследует взломы, когда они происходят. Скомпрометированный сервер был каналом непрерывной оценки, через который организации загружают формы, лежащие в основе аудита, — от моделей согласия на обработку кредитной информации до документов о соответствии требованиям.

Официальный подсчёт

По состоянию на 11 ноября институт насчитал около 200 административных форм, более 300 персональных записей внутри них с именами и датами рождения и чуть более 350 записей пользователей с частично замаскированными номерами мобильных телефонов. Большая часть персональных данных принадлежит сотрудникам организаций, которые занимались оценками, а не клиентам.

48 пострадавших организаций — это региональные сельскохозяйственные кооперативы и кредитные союзы, среди них как минимум один лесной кооператив. Крупные коммерческие банки в подсчёте не фигурируют. В этом году институт оценивает около 3000 организаций и заявил, что пострадавшая платформа — это внешний канал обмена документами, а не его внутренняя сеть. Он также сообщил, что система не обрабатывает транзакции розничных клиентов и что регистрационные номера жителей в утёкших материалах не фигурировали.

Институт сообщил, что с ночи 10 ноября связывался с пострадавшими сторонами по телефону, организацию за организацией.

Пересмотренная версия

В первой версии институт заявил, что на скомпрометированном сервере не было ни анализа уязвимостей, ни схем архитектуры. Более позднее сообщение от 12 ноября опровергло эту трактовку: на атакованном сервере всё же была информация о безопасности, включая конфигурационные схемы систем крупных отечественных финансовых организаций и части оценок уязвимостей.

Институт признал, что данные там были, и заявил, что они не ушли, поскольку машину отключили в начале атаки. Реальный масштаб утечки пока не установлен, говорит институт, поскольку расследование продолжается.

Как проник атакующий

Более поздний анализ описывает поддельную учётную запись с теми же правами, что у Службы финансового надзора (FSS), созданную с использованием уязвимости в процессе авторизации института. Настоящая учётная запись FSS не была скомпрометирована, согласно этому описанию. Все 236 IP-адресов, использованных в атаке, южнокорейские, и ни один не совпадает с прежними попытками вторжения, говорится в том же отчёте.

Квак Джин, профессор кибербезопасности в Университете Аджу, сравнил риск с оставленным на виду планом этажа дома: он показывает, где войти и по какому серверу бить.

Расследования и хронология

Столичная полиция Сеула по запросу института начала расследование в своём подразделении по киберпреступности. FSC направила в штаб-квартиру института инспекционную группу в среду 11 ноября, сотрудники FSS помогали.

За четыре дня до утечки, 5 ноября, председатель FSC Ли Ок Вон собрал представителей отрасли в штаб-квартире самого института, чтобы надавить на них по вопросам кибербезопасности. Он сказал, что его ведомство будет привлекать руководителей к юридической ответственности за серьёзные провалы в управлении и не потерпит практик, усиливающих последствия инцидента, — например, игнорирования известных рисков или опоры на поверхностные проверки.

Нет данных о том, что атакующий отреагировал на эту встречу или что утечка связана с поднятыми там слабыми местами. Институт не сообщил, когда завершит расследование.