Etelä-Korean FSC paljastaa uuden finanssialan tietomurtojen aallon

Etelä-Korean finanssipalvelukomissio paljasti 28. lokakuuta 2026 uuden hakkerointitapausten sarjan maan finanssialalla. Se kutsui koolle hätäkokouksen Bithumb-virtuaalivaluuttapörssiin kohdistuneen tietomurron vuoksi ja vahvisti, että myös Daishin Securitiesilta oli vuotanut lisää asiakastietoja.

Hätäkokousta johti digitaalisen rahoituksen politiikasta vastaava pääjohtaja Yu Yeong-jun. Siihen osallistuivat Financial Supervisory Service (FSS), Financial Security Institute (FSI), digitaalisten omaisuuserien pörssien liittouma DAXA sekä Bithumb, FSC kertoi koreankielisessä tiedotteessa. Kokouksessa käsiteltiin merkittäviin virtuaalivaluuttaoperaattoreihin kohdistuneita tietoturvaloukkauksia.

Bithumb ilmoitti viranomaisille vahvistaneensa merkkejä siitä, että ulkopuolinen epätavallinen pääsy järjestelmiin oli johtanut Bithumbin, sen tytäryhtiöiden ja kumppaniyritysten työntekijöiden tietojen vuotamiseen. Yhtiö selvitti edelleen, oliko käyttäjätietoja vuotanut. Pörssi ilmoitti myös, että tietomurron kohteena ollut järjestelmä tuki työntekijöiden työskentelyä eikä ollut virtuaalivaluuttakaupan keskeinen tietojenkäsittelyjärjestelmä. Tähän mennessä ei ollut vahvistettu sellaisten tietojen vuotamista, joita voisi käyttää vilpillisiin maksuihin tai virtuaalivaluuttojen siirtoihin, kuten virtuaalivaluuttalompakoiden osoitteita.

FSC kertoi, että Mirae Asset Life Insurance ja Mirae Asset Global Investments olivat äskettäin ilmoittaneet tietoturvaloukkauksista ja että Daishin Securitiesin asiakastietojen lisävuoto vahvistui tapahtumien tutkinnan yhteydessä. Daishin Securities julkaisi virallisella ilmoitustaulullaan 28. lokakuuta 2026 kello 09.59 ilmoituksen, jonka otsikko oli ”Ilmoitus henkilötietojen (luottotietojen) vuotamisesta ja anteeksipyyntö”.

Viranomaisten toimet ja suunnitellut tietoturvaparannukset

FSC, FSS ja FSI kertoivat käynnistäneensä välittömästi paikan päällä tehtävät tutkinnat, tehostaneensa virastojen välistä nopeaa tiedonvaihtoa ja tiivistäneensä yhteistyötä. Ne pyrkisivät kaikin keinoin selvittämään tapahtumien syyt. Viranomaiset kertoivat tarkistavansa perusteellisesti, ettei kuluttajille aiheudu vahinkoa, ja jos vahinkoa kuitenkin syntyy, valvovansa ja ohjaavansa toimia sen varmistamiseksi, että kuluttajansuojatoimet, kuten täysimääräiset korvaukset, toteutetaan.

FSC kertoi pyrkivänsä monipuolisin toimin vahvistamaan sellaisten alojen tietoturvan suurten finanssiyhtiöiden, kuten pankkien, tasolle, joita sähköisistä rahoitustapahtumista annettu laki ei tällä hetkellä koske. Näihin aloihin kuuluu myös virtuaalivaluuttasektori. Lisäksi tavoitteena on varmistaa valmius reagoida nopeasti tietoturvapoikkeamiin. Viranomaisen mukaan FSS ja FSI tutkivat perusteellisesti Mirae Asset Life Insurancen, Mirae Asset Global Investmentsin ja Daishin Securitiesin kaltaisten finanssialan muiden sektorien yritysten tietoturvapoikkeamat ja toteuttavat toimia uhrien suojelemiseksi.

Lokakuun aiempi tietomurtoaalto

Lokakuun 28. päivän tiedotukset jatkavat tietomurtojen sarjaa, johon FSC oli alkanut puuttua jo aiemmin lokakuussa 2026. Finanssialan kyberturvallisuuden hallintaa käsitelleessä kokouksessa 14. lokakuuta 2026 FSC kertoi, että tietomurtoja oli vahvistettu yhteensä 16 yrityksessä kaikilla finanssialan sektoreilla, viranomaisen englanninkielisen tiedotteen mukaan. Tietomurtojen laajuudeksi arvioitiin noin 100 000 asiakastietoa, joihin sisältyi nimiä, yhteystietoja, asukasrekisterinumeroita ja sähköpostiosoitteita. Tuolloin ei ollut ilmoitettu hakkerointitapauksista, joissa olisi vuotanut tilien salasanoja tai luottokorttinumeroita.

Viranomaiset määräsivät asianomaisia yrityksiä estämään välittömästi hakkerointihyökkäyksiin liittyvät IP-osoitteet, toteuttamaan lisätoimia, kuten asentamaan tietoturvakorjauksia tai keskeyttämään palvelut, sekä ryhtymään kaikkiin tarvittaviin kuluttajansuojatoimiin. FSS ja FSI selvittivät paikan päällä tehtävissä tarkastuksissa yksittäisiä tapauksia määrittääkseen hyökkäystavat ja -mallit, liittyivätkö tapaukset toisiinsa, olivatko ne peräisin samalta hyökkääjältä ja oliko hakkerointitapauksissa käytetty tekoälyä.

Kaikki 555 finanssiyhtiötä olivat täyttäneet 12-kohtaisen kyberturvallisuuden tarkistuslistan, tiedotteessa kerrottiin. Niistä 425 ilmoitti kyberturvallisuuden hallintatoimensa asianmukaisiksi, kun taas 130 tunnisti parannusta vaativia osa-alueita. Ilmoitetut puutteet liittyivät enimmäkseen tietoturvakorjauksiin tai valvontajärjestelmiin. Niitä esiintyi enemmän sähköisten rahoituspalvelujen ja verkossa toimivan vertaislainanannon sektoreilla, joiden kyberturvallisuusvalmiudet olivat tiedotteen mukaan suhteellisen heikommat kuin perinteisemmillä sektoreilla.

Viranomaiset käsittelivät 14. lokakuuta pidetyssä kokouksessa myös neljää politiikkatoimea: finanssiyhtiöiden kyberturvallisuuden hallintajärjestelmien kattavaa tarkastusta; toimintatapojen parantamista, jotta yksittäisten yritysten havaitsemista kyberuhkista voidaan ilmoittaa viranomaisille nopeasti ja jakaa tietoa muiden finanssiyhtiöiden kanssa; sääntelyperustan luomista aiempaa tiheämmille ja säännöllisille kyberhaavoittuvuustesteille; sekä mahdollisuutta laajentaa pienten ja keskisuurten finanssiyhtiöiden kyberturvallisuustukea, jotta ne pystyisivät vastaamaan tekoälypohjaisiin kyberturvallisuusuhkiin.

Aiemmin, 6. lokakuuta 2026, FSC ja FSS antoivat tason I (varoitus) -kuluttajahälytyksen mahdollisista tietojenkalasteluhyökkäyksistä ja lainahuijauksista henkilötietojen tietomurtojen jälkeen sekä käynnistivät kuukauden mittaisen erityisen reagointijakson. Rahoitusalan yrityksiä kehotettiin ylläpitämään tukipalveluja asianomaisille kuluttajille, tehostamaan varastettuihin kuluttajatietoihin liittyvien epäilyttävien maksutapahtumien petostunnistusta sekä hyödyntämään aktiivisesti tekoälypohjaista tietojenkalastelun torjuntaan tarkoitettua tiedon jakamisen & analysoinnin alustaa (ASAP) tietojenkalasteluun liittyvien tietojen jakamiseen. Tuolloin ei ollut vahvistettu yhtään taloudellista vahinkoa aiheuttanutta tietojenkalasteluhuijausta, ja viranomaiset ilmoittivat nostavansa hälytyksen tasolle II (varoitus), jos myöhemmin ilmenisi vahvistettuja vahinkotapauksia.

CrowdStrike kuvaa tekoälyagentteihin perustuvaa kampanjaa

CrowdStrike Intelligence kertoi 7. lokakuuta 2026, että se oli tunnistanut infrastruktuurin, joka liittyi eteläkorealaisiin rahoitusalan organisaatioihin kohdistuneeseen, tietojen ulosvientiin johtaneeseen kampanjaan. Kampanja oli aktiivinen syyskuun lopusta lokakuun alkuun 2026. Raportin mukaan toimija käytti tässä toiminnassa ARTEXia, Kiinassa kehitettyä, hiljattain julkaistua avoimen lähdekoodin penetraatiotestaustyökalua, joka hyödyntää tekoälyagentteja, sekä suuria kielimalleja.

Raportin mukaan uhkatoimijan hallinnoimien avoimien hakemistojen analyysissä löytyi Claude Code -istuntojen historiatietoja, ARTEXin määritystiedostoja ja Claude-muistitiedostoja. ARTEX-instanssin ensisijaisena LLM-taustajärjestelmänä oli DeepSeek v4.1-flash, ja lisäistunnoissa hyödynnettiin GLM-5.3:a ja Grok 4.6:ta. Hongkongissa sijaitseva IP-osoite toimi hyökkääjän hallinnoiman infrastruktuurin ensisijaisena osana. CrowdStrike arvioi kohtalaisella varmuudella, että uhkatoimija on todennäköisesti kiinankielinen ja toimii taloudellisen hyödyn vuoksi. Arvio perustui ARTEXin käyttöön ja havaittuihin kiinankielisiin kehotteisiin. Toimintaa ei ole yhdistetty nimettyyn vastustajaan.

Alan raportteihin viitaten CrowdStrike kertoi, että yhdessä asianomaisessa pankissa uhkatoimija oli tiettävästi murtautunut rahoitusvälittäjien käyttämään lainahakemusten etenemisen kyselypalveluun ja että toisessa pankissa toimija oli murtautunut työntekijöiden mobiilijärjestelmään, joka tukee työskentelyä. Raportin mukaan toiminta osoittaa, miten tekoälytyökalut voivat auttaa taloudellista hyötyä tavoittelevaa uhkatoimijaa tekemään useita tunkeutumisia lyhyessä ajassa. CrowdStrike arvioi, että vastustajat jatkavat todennäköisesti tekoälytyökalujen käytön kokeilemista osana toimintaansa.