Sydkoreas FSC afslører en ny bølge af brud i finanssektoren

Sydkoreas Financial Services Commission offentliggjorde den 28. oktober 2026 en ny række hackerangreb i landets finanssektor, indkaldte til et hastemøde om inspektion af et brud hos kryptobørsen Bithumb og bekræftede, at yderligere kundeoplysninger var blevet lækket hos Daishin Securities.

Mødet blev ledet af Yu Yeong-jun, generaldirektør for politikområdet digital finans, og deltagere var Financial Supervisory Service (FSS), Financial Security Institute (FSI), alliancen af børser for digitale aktiver DAXA og Bithumb, oplyste FSC i en koreansksproget pressemeddelelse. Mødet handlede om sikkerhedsbrud, der berørte større operatører af virtuelle aktiver.

Bithumb oplyste myndighederne om, at selskabet havde konstateret tegn på, at unormal ekstern adgang havde medført læk af medarbejderoplysninger fra Bithumb, dets datterselskaber og partnervirksomheder, og at det stadig var ved at undersøge, om brugeroplysninger var blevet lækket. Børsen oplyste også, at det berørte system blev brugt til at understøtte medarbejdernes arbejde og ikke var det centrale it-system til handel med virtuelle aktiver, og at der indtil videre ikke var konstateret læk af oplysninger, der kunne bruges til svigagtige betalinger eller overførsler af virtuelle aktiver, såsom adresser på tegnebøger til virtuelle aktiver.

FSC oplyste, at der for nylig var indgivet hændelsesrapporter fra Mirae Asset Life Insurance og Mirae Asset Global Investments, og at efterforskningen af hændelserne havde bekræftet yderligere læk af kundeoplysninger hos Daishin Securities. Daishin Securities offentliggjorde den 28. oktober 2026 kl. 09:59 en meddelelse med titlen »Meddelelse om læk af personoplysninger (kreditoplysninger) og en undskyldning« på selskabets officielle opslagstavle.

Myndighedernes reaktion og planlagte sikkerhedsopgraderinger

FSC, FSS og FSI oplyste, at de straks havde iværksat undersøgelser på stedet, hurtig informationsdeling mellem de relevante myndigheder og et tæt samarbejde, og at de ville gøre alt for at fastslå årsagerne til hændelserne. Myndighederne sagde, at de ville føre grundigt tilsyn for at sikre, at ingen forbrugere kom til skade, og at de, hvis der opstod tab, ville forvalte og føre tilsyn med indsatsen, så forbrugerbeskyttende foranstaltninger som fuld erstatning blev gennemført.

FSC oplyste, at myndigheden vil iværksætte en række forskellige tiltag for at styrke sikkerheden i sektorer, der i øjeblikket ikke er omfattet af loven om elektroniske finansielle transaktioner, herunder sektoren for virtuelle aktiver, så den når samme niveau som hos større finansielle virksomheder såsom banker, og for at sikre en hurtig reaktion, når hændelser indtræffer. For virksomheder i den sekundære finanssektor, herunder Mirae Asset Life Insurance, Mirae Asset Global Investments og Daishin Securities, vil FSS og FSI foretage grundige undersøgelser af hændelserne og træffe foranstaltninger til beskyttelse af de berørte, oplyste tilsynsmyndigheden.

Den tidligere bølge af brud i oktober

Offentliggørelserne den 28. oktober føjer sig til en række sikkerhedsbrud, som FSC var begyndt at håndtere tidligere i oktober 2026. På et møde den 14. oktober 2026 om cybersikkerhedsstyring i finanssektoren oplyste FSC, at det var blevet bekræftet, at i alt 16 virksomheder på tværs af alle finanssektorer havde været udsat for databrud, ifølge tilsynsmyndighedens engelsksprogede pressemeddelelse. Bruddene blev anslået til at omfatte omkring 100.000 kundedata, herunder navne, kontaktoplysninger, personnumre og e-mailadresser, og på det tidspunkt var der ikke blevet rapporteret om hackerangreb med læk af adgangskoder til konti eller kreditkortnumre.

Myndighederne pålagde de berørte virksomheder straks at blokere de IP-adresser, der var knyttet til hackerangrebene, iværksætte yderligere tiltag såsom sikkerhedsrettelser eller suspendering af tjenester og træffe alle nødvendige foranstaltninger for at beskytte forbrugerne. Gennem gennemgange på stedet undersøgte FSS og FSI de enkelte hændelser for at fastslå angrebsveje og -mønstre, om hændelserne hang sammen, om de stammede fra samme angriber, og om der var blevet brugt kunstig intelligens i hackerangrebene.

Alle 555 finansielle virksomheder havde gennemført en cybersikkerhedstjekliste med 12 punkter, fremgik det af pressemeddelelsen: 425 virksomheder havde indberettet, at deres cybersikkerhedsforanstaltninger var passende, mens 130 havde identificeret områder med behov for forbedringer. De indberettede mangler vedrørte for det meste sikkerhedsrettelser eller kontrolsystemer og forekom oftere inden for elektroniske finansielle tjenester og online peer-to-peer-lån, som ifølge pressemeddelelsen havde en relativt lavere cybersikkerhedskapacitet end mere traditionelle sektorer.

På mødet den 14. oktober drøftede myndighederne også fire politiske tiltag: en grundig gennemgang af finansielle virksomheders cybersikkerhedsstyringssystemer; forbedrede reaktionsmekanismer, så cybertrusler, som enkelte virksomheder identificerer, hurtigt kan indberettes til myndighederne og deles med andre finansielle virksomheder; et lovgrundlag, der kræver hyppigere og regelmæssige test af cyberrelaterede sårbarheder; samt en overvejelse af at udvide cybersikkerhedsstøtten til små og mellemstore finansielle virksomheder, så de bedre kan håndtere cybersikkerhedsrisici drevet af kunstig intelligens.

Tidligere, den 6. oktober 2026, udsendte FSC og FSS en forbrugeradvarsel på niveau I (Forsigtighed) om potentielle phishingangreb og lånesvindel efter bruddene på personoplysninger og indledte en særlig indsatsperiode på en måned. Finansielle virksomheder blev pålagt at drive helpdeske for berørte forbrugere, styrke overvågningen med henblik på at opdage mistænkelige transaktioner, der involverede stjålne forbrugeroplysninger, og aktivt benytte den AI-baserede anti-phishingplatform Sharing & Analysis Platform (ASAP) til at dele oplysninger om phishing. På det tidspunkt var der ikke bekræftet phishingbedrageri, som havde medført økonomisk tab, og myndighederne oplyste, at advarslen ville blive hævet til niveau II (Advarsel), hvis der kom bekræftede tilfælde af efterfølgende skade.

CrowdStrike beskriver kampagne med agentisk AI

CrowdStrike Intelligence rapporterede den 7. oktober 2026, at organisationen havde identificeret infrastruktur knyttet til en målrettet kampagne mod sydkoreanske finansielle organisationer, som medførte dataeksfiltrering, og som var aktiv fra slutningen af september til begyndelsen af oktober 2026. Ifølge rapporten brugte trusselsaktøren i forbindelse med aktiviteten ARTEX, et nyligt udgivet open source-værktøj til agentisk penetrationstest, der er udviklet i Kina, sammen med store sprogmodeller.

Rapporten oplyste, at en analyse af åbne mapper, som trusselsaktøren kontrollerede, afslørede sessionshistorik fra Claude Code, ARTEX-konfigurationsfiler og Claude-hukommelsesfiler. ARTEX-instansen brugte DeepSeek v4.1-flash som sin primære backend til LLM, suppleret med GLM-5.3 og Grok 4.6 til yderligere sessioner, og en IP-adresse med base i Hongkong fungerede som den primære infrastruktur, der var kontrolleret af angriberen. CrowdStrike vurderede med moderat sikkerhed, at trusselsaktøren sandsynligvis er kinesisktalende og økonomisk motiveret, baseret på brugen af ARTEX og observerede prompts på kinesisk; aktiviteten er ikke blevet tilskrevet en navngiven modstander.

Med henvisning til brancheanalyser oplyste CrowdStrike, at trusselsaktøren angiveligt havde brudt ind i en tjeneste til forespørgsler om lånesagers status, som finansielle mæglere brugte, hos en af de berørte banker, og at aktøren hos en anden bank havde kompromitteret et mobilt arbejdsstøttesystem for medarbejdere. Rapporten fastslog, at aktiviteten viser, hvordan AI-værktøjer kan gøre det muligt for en økonomisk motiveret trusselsaktør at gennemføre flere indtrængninger på kort tid, og CrowdStrike vurderede, at modstandere sandsynligvis fortsat vil eksperimentere med at indarbejde AI-værktøjer i deres operationer.