Südkoreas FSC legt neue Welle von Sicherheitsvorfällen im Finanzsektor offen

Die südkoreanische Finanzdienstleistungskommission (FSC) gab am 28. Oktober 2026 eine neue Serie von Hackerangriffen auf die Finanzbranche des Landes bekannt. Sie berief eine Dringlichkeitssitzung zu einem Sicherheitsvorfall bei der Handelsplattform für virtuelle Vermögenswerte Bithumb ein und bestätigte, dass bei Daishin Securities weitere Kundendaten abgeflossen waren.

Die Dringlichkeitssitzung wurde von Yu Yeong-jun, Generaldirektor für Digitalfinanzpolitik, geleitet. Daran nahmen der Financial Supervisory Service (FSS), das Financial Security Institute (FSI), der Verband der Handelsplattformen für digitale Vermögenswerte DAXA und Bithumb teil, teilte die FSC in einer koreanischsprachigen Mitteilung mit. Bei der Sitzung ging es um Sicherheitsvorfälle, von denen große Anbieter virtueller Vermögenswerte betroffen waren.

Bithumb teilte den Behörden mit, dass das Unternehmen Hinweise auf einen unbefugten externen Zugriff bestätigt habe, bei dem Mitarbeiterdaten von Bithumb, seinen Tochtergesellschaften und Partnerunternehmen abgeflossen seien. Ob auch Nutzerdaten abgeflossen seien, werde noch geprüft. Die Handelsplattform berichtete zudem, dass das betroffene System die Arbeit der Beschäftigten unterstütze und nicht zur zentralen IT-Infrastruktur für den Handel mit virtuellen Vermögenswerten gehöre. Bislang sei kein Abfluss von Informationen bestätigt worden, die für betrügerische Zahlungen oder Übertragungen virtueller Vermögenswerte genutzt werden könnten, etwa von Wallet-Adressen für virtuelle Vermögenswerte.

Die FSC teilte mit, dass kürzlich Vorfallmeldungen von Mirae Asset Life Insurance und Mirae Asset Global Investments eingegangen seien. Im Zuge der Untersuchung des Vorfalls sei außerdem ein weiterer Abfluss von Kundendaten bei Daishin Securities bestätigt worden. Daishin Securities veröffentlichte am 28. Oktober 2026 um 09:59 Uhr auf seiner offiziellen Mitteilungsseite eine Mitteilung mit dem Titel „Mitteilung über den Verlust personenbezogener (Kredit-)Daten und Entschuldigung“.

Reaktion der Aufsichtsbehörden und geplante Sicherheitsverbesserungen

Die FSC, der FSS und das FSI erklärten, sie hätten umgehend Untersuchungen vor Ort, einen raschen Informationsaustausch zwischen den zuständigen Behörden und eine enge Zusammenarbeit eingeleitet. Sie würden alles daransetzen, die Ursachen der Vorfälle zu ermitteln. Die Behörden erklärten, sie würden gründlich prüfen, damit Verbraucherinnen und Verbrauchern kein Schaden entstehe. Sollte es dennoch zu Schäden kommen, würden sie die Umsetzung von Verbraucherschutzmaßnahmen wie einer vollständigen Entschädigung überwachen und beaufsichtigen.

Die FSC teilte mit, sie werde vielfältige Maßnahmen ergreifen, um die Sicherheit in Bereichen, die derzeit nicht dem Gesetz über elektronische Finanztransaktionen unterliegen – darunter der Sektor für virtuelle Vermögenswerte –, auf das Niveau großer Finanzunternehmen wie Banken anzuheben und im Fall von Vorfällen eine schnelle Reaktion sicherzustellen. Bei Unternehmen des sekundären Finanzsektors, darunter Mirae Asset Life Insurance, Mirae Asset Global Investments und Daishin Securities, würden der FSS und das FSI gründliche Untersuchungen der Vorfälle durchführen und Maßnahmen zum Schutz der Betroffenen ergreifen, so die Aufsichtsbehörde.

Vorangegangene Welle von Sicherheitsvorfällen im Oktober

Die am 28. Oktober bekannt gegebenen Vorfälle setzen eine Serie von Sicherheitsverletzungen fort, mit der sich die FSC bereits Anfang Oktober 2026 befasst hatte. Bei einer Sitzung zur Cybersicherheit im Finanzsektor am 14. Oktober 2026 teilte die FSC mit, dass insgesamt 16 Unternehmen aus sämtlichen Finanzsektoren nachweislich von Datensicherheitsvorfällen betroffen gewesen seien, wie aus der englischsprachigen Mitteilung der Aufsichtsbehörde hervorgeht. Das Ausmaß der Vorfälle wurde auf etwa 100.000 Kundendatensätze geschätzt, darunter Namen, Kontaktdaten, Einwohnerregisternummern und E-Mail-Adressen. Zu diesem Zeitpunkt waren keine Hackerangriffe gemeldet worden, bei denen Kontopasswörter oder Kreditkartennummern kompromittiert worden waren.

Die Behörden wiesen die betroffenen Unternehmen an, die mit den Hackerangriffen verbundenen IP-Adressen unverzüglich zu sperren, zusätzliche Maßnahmen wie Sicherheitsupdates oder die Aussetzung von Diensten zu ergreifen und alle notwendigen Schritte zum Schutz der Verbraucherinnen und Verbraucher einzuleiten. Im Rahmen von Prüfungen vor Ort untersuchten der FSS und das FSI die einzelnen Vorfälle, um die Angriffsvektoren und -muster zu ermitteln, festzustellen, ob die Vorfälle miteinander in Zusammenhang standen und auf denselben Angreifer zurückgingen, sowie zu klären, ob bei den Hackerangriffen künstliche Intelligenz eingesetzt worden war.

Alle 555 Finanzunternehmen hätten eine Cybersicherheits-Checkliste mit 12 Punkten ausgefüllt, heißt es in der Mitteilung: 425 Unternehmen hätten ihre Cybersicherheitsmaßnahmen als angemessen eingestuft, während 130 Bereiche mit Verbesserungsbedarf benannt hätten. Die gemeldeten Mängel betrafen überwiegend Sicherheitsupdates oder Kontrollsysteme und traten häufiger im Bereich elektronischer Finanzdienstleistungen sowie bei Online-Krediten zwischen Privatpersonen auf. In diesen Sektoren sei die Cybersicherheitskompetenz laut Mitteilung im Vergleich zu traditionelleren Bereichen relativ gering.

Bei der Sitzung am 14. Oktober erörterten die Behörden außerdem vier politische Maßnahmen: eine umfassende Überprüfung der Cybersicherheitsmanagementsysteme von Finanzunternehmen; verbesserte Reaktionsmechanismen, damit von einzelnen Unternehmen erkannte Cyberbedrohungen den Behörden rasch gemeldet und mit anderen Finanzunternehmen geteilt werden können; die Schaffung einer regulatorischen Grundlage, die häufigere und regelmäßige Tests auf Cyber-Schwachstellen vorschreibt; sowie die Prüfung eines erweiterten Cybersicherheitssupports für kleine und mittlere Finanzunternehmen, damit diese besser auf durch KI bedingte Cybersicherheitsrisiken reagieren können.

Bereits zuvor, am 6. Oktober 2026, gaben die FSC und die FSS nach den Datenschutzverletzungen eine Verbraucherwarnung der Stufe I (Vorsicht) vor möglichen Phishing-Angriffen und Kreditbetrugsmaschen heraus und leiteten einen einmonatigen Sonderzeitraum für Gegenmaßnahmen ein. Finanzunternehmen wurden angewiesen, Anlaufstellen für betroffene Verbraucher einzurichten, die Betrugserkennung bei verdächtigen Transaktionen mit gestohlenen Verbraucherdaten zu verstärken und die KI-gestützte Anti-Phishing-Plattform Sharing & Analysis Platform (ASAP) aktiv zum Austausch phishingbezogener Informationen zu nutzen. Zu diesem Zeitpunkt waren noch keine Phishing-Betrugsfälle mit finanziellen Schäden bestätigt worden. Die Behörden erklärten, die Warnung werde auf Stufe II (Warnung) angehoben, falls bestätigte Fälle weiterer Schäden bekannt würden.

CrowdStrike berichtet über Kampagne mit agentischer KI

CrowdStrike Intelligence berichtete am 7. Oktober 2026, eine Infrastruktur identifiziert zu haben, die mit einer gezielten Kampagne gegen südkoreanische Finanzorganisationen in Verbindung stand. Bei dieser Kampagne, die von Ende September bis Anfang Oktober 2026 aktiv war, wurden Daten exfiltriert. Dem Bericht zufolge setzte der Angreifer dabei neben großen Sprachmodellen ARTEX ein, ein kürzlich veröffentlichtes, in China entwickeltes Open-Source-Tool für agentische Penetrationstests.

Dem Bericht zufolge ergab die Analyse öffentlich zugänglicher Verzeichnisse unter der Kontrolle des Angreifers, dass diese Sitzungsverläufe von Claude Code, ARTEX-Konfigurationsdateien und Claude-Speicherdateien enthielten. Die ARTEX-Instanz verwendete DeepSeek v4.1-flash als primäres LLM-Backend; für zusätzliche Sitzungen kamen außerdem GLM-5.3 und Grok 4.6 zum Einsatz. Eine in Hongkong ansässige IP-Adresse diente als wichtigste vom Angreifer kontrollierte Infrastruktur. CrowdStrike kam mit mittlerer Zuversicht zu der Einschätzung, dass der Angreifer wahrscheinlich chinesischsprachig und finanziell motiviert ist. Grundlage dafür waren der Einsatz von ARTEX und beobachtete Eingabeaufforderungen in chinesischer Sprache. Die Aktivitäten wurden keinem namentlich bekannten Angreifer zugeordnet.

Unter Berufung auf Branchenberichte erklärte CrowdStrike, der Angreifer sei bei einer betroffenen Bank Berichten zufolge in einen Dienst zur Abfrage des Bearbeitungsstands von Kreditanträgen eingedrungen, den Finanzmakler nutzen. Bei einer anderen Bank habe der Angreifer ein mobiles Arbeitssystem für Mitarbeiter kompromittiert. Dem Bericht zufolge zeigt das Vorgehen, wie KI-Werkzeuge einem finanziell motivierten Angreifer ermöglichen können, innerhalb kurzer Zeit mehrere Systeme zu infiltrieren. CrowdStrike schätzte außerdem, dass Angreifer wahrscheinlich weiter damit experimentieren werden, KI-Werkzeuge in ihre Operationen einzubinden.