La FSC sud-coréenne révèle une nouvelle vague de violations dans le secteur financier

Le 28 octobre 2026, la Commission des services financiers sud-coréenne a révélé une nouvelle série de cyberattaques visant le secteur financier du pays. Elle a convoqué une réunion d’inspection d’urgence à la suite d’une violation de sécurité chez la plateforme d’échange d’actifs virtuels Bithumb et confirmé une fuite supplémentaire de données clients chez Daishin Securities.

La réunion d’urgence, présidée par Yu Yeong-jun, directeur général chargé de la politique de finance numérique, a rassemblé le Financial Supervisory Service (FSS), le Financial Security Institute (FSI), l’alliance des plateformes d’échange d’actifs numériques DAXA et Bithumb, a indiqué la FSC dans un communiqué en coréen. La réunion a porté sur des incidents de sécurité touchant de grands opérateurs d’actifs virtuels.

Bithumb a informé les autorités qu’elle avait confirmé des indices indiquant qu’un accès externe anormal avait entraîné la fuite d’informations concernant des employés de Bithumb, de ses filiales et de ses sociétés partenaires, et qu’elle vérifiait toujours si des informations sur les utilisateurs avaient été divulguées. La plateforme a également indiqué que le système compromis servait au travail des employés et ne constituait pas l’infrastructure informatique centrale utilisée pour les transactions d’actifs virtuels. À ce stade, aucune fuite d’informations permettant d’effectuer des paiements frauduleux ou de transférer des actifs virtuels, comme des adresses de portefeuilles d’actifs virtuels, n’avait été confirmée.

La FSC a indiqué que Mirae Asset Life Insurance et Mirae Asset Global Investments avaient récemment signalé des incidents et qu’une fuite supplémentaire de données clients chez Daishin Securities avait été confirmée au cours de l’enquête. Le 28 octobre 2026 à 9 h 59, Daishin Securities a publié sur son tableau d’affichage officiel un avis intitulé « Avis concernant la fuite de données personnelles (de crédit) et excuses ».

Réponse des autorités de réglementation et améliorations de sécurité prévues

La FSC, le FSS et le FSI ont indiqué avoir immédiatement lancé des enquêtes sur place, mis en place un partage rapide des informations entre les organismes concernés et instauré une étroite coopération. Ils feraient tout leur possible pour déterminer la cause des incidents. Les autorités ont déclaré qu’elles procéderaient à des vérifications approfondies afin d’éviter tout préjudice aux consommateurs et que, si un préjudice survenait, elles en assureraient le suivi et la supervision pour que des mesures de protection des consommateurs, notamment une indemnisation intégrale, soient mises en œuvre.

La FSC a indiqué qu’elle mettrait en œuvre des mesures à plusieurs niveaux afin de renforcer la sécurité pour atteindre celle de grandes institutions financières comme les banques dans les secteurs qui ne relèvent pas actuellement de la loi sur les transactions financières électroniques, notamment celui des actifs virtuels, et de garantir une capacité de réaction rapide en cas d’incident. Pour les sociétés du secteur financier secondaire, notamment Mirae Asset Life Insurance, Mirae Asset Global Investments et Daishin Securities, le FSS et le FSI mèneront des enquêtes approfondies sur les incidents et prendront des mesures de protection des victimes, a précisé l’autorité de réglementation.

Vague précédente de fuites en octobre

Les révélations du 28 octobre s’ajoutent à une série de violations de sécurité auxquelles la FSC avait commencé à s’attaquer plus tôt en octobre 2026. Lors d’une réunion consacrée à la gestion de la cybersécurité dans le secteur financier, le 14 octobre 2026, la FSC a indiqué que 16 entreprises au total avaient été confirmées comme ayant subi des violations de données dans l’ensemble des secteurs financiers, selon son communiqué en anglais. L’ampleur des fuites était estimée à environ 100 000 éléments de données clients, notamment des noms, des coordonnées, des numéros d’enregistrement de résident et des adresses courriel. À cette date, aucun incident de piratage impliquant la divulgation de mots de passe de comptes ou de numéros de cartes de crédit n’avait été signalé.

Les autorités ont demandé aux entreprises touchées de bloquer immédiatement les adresses IP associées aux cyberattaques, de prendre des mesures supplémentaires, telles que l’installation de correctifs de sécurité ou la suspension des services, et d’appliquer toutes les mesures nécessaires à la protection des consommateurs. Dans le cadre d’examens sur place, le FSS et le FSI étudiaient les différents incidents afin de déterminer les vecteurs et les modes opératoires des attaques, d’établir si les incidents étaient liés entre eux ou provenaient du même attaquant, et de vérifier si l’intelligence artificielle avait été utilisée lors des cyberattaques.

Selon le communiqué, les 555 entreprises financières ont rempli une liste de contrôle de cybersécurité en 12 points : 425 ont déclaré que leurs mesures de gestion de la cybersécurité étaient adéquates, tandis que 130 ont relevé des points à améliorer. Les insuffisances signalées concernaient principalement les correctifs de sécurité ou les systèmes de contrôle et étaient plus fréquentes dans les secteurs des services financiers électroniques et des prêts entre particuliers en ligne, dont les capacités en matière de cybersécurité étaient, selon le communiqué, relativement plus faibles que celles des secteurs plus traditionnels.

Lors de la réunion du 14 octobre, les autorités ont également examiné quatre mesures de politique publique : une inspection exhaustive des systèmes de gestion de la cybersécurité des entreprises financières ; l’amélioration des mécanismes de réaction afin que les risques de cybermenace détectés par les entreprises puissent être rapidement signalés aux autorités et communiqués aux autres sociétés financières ; l’établissement d’un fondement réglementaire imposant des tests de vulnérabilité informatique plus fréquents et réguliers ; et l’examen d’un élargissement du soutien en matière de cybersécurité aux petites et moyennes entreprises financières pour les aider à répondre aux risques de cybersécurité liés à l’IA.

Plus tôt, le 6 octobre 2026, la FSC et la FSS ont lancé une alerte de niveau I (prudence) à l’intention des consommateurs concernant d’éventuelles attaques par hameçonnage et des escroqueries aux prêts, à la suite des fuites de données personnelles, et ont ouvert une période spéciale d’intervention d’un mois. Les sociétés financières ont reçu pour instruction de mettre en place des services d’assistance pour les consommateurs concernés, de renforcer la surveillance visant à détecter les transactions suspectes impliquant des données de consommateurs volées et d’utiliser activement la plateforme de partage et d’analyse (ASAP) contre l’hameçonnage, fondée sur l’IA, afin de partager les informations relatives à l’hameçonnage. Aucun cas d’escroquerie par hameçonnage ayant entraîné un préjudice financier n’avait été confirmé à ce moment-là. Les autorités ont indiqué que l’alerte passerait au niveau II (avertissement) si de nouveaux cas de préjudice étaient confirmés.

CrowdStrike détaille une campagne d’IA agentique

CrowdStrike Intelligence a indiqué, le 7 octobre 2026, avoir identifié une infrastructure associée à une campagne ciblée contre des organismes financiers sud-coréens, qui a entraîné l’exfiltration de données et s’est déroulée de la fin septembre au début octobre 2026. Selon le rapport, lors de cette campagne, l’acteur malveillant a utilisé ARTEX, un outil de test d’intrusion agentique récemment publié en open source et développé en Chine, ainsi que de grands modèles de langage.

Le rapport indique que l’analyse de répertoires ouverts contrôlés par l’acteur malveillant a révélé des historiques de sessions Claude Code, des fichiers de configuration ARTEX et des fichiers de mémoire Claude. L’instance ARTEX utilisait DeepSeek v4.1-flash comme principal moteur LLM, complété par GLM-5.3 et Grok 4.6 pour les sessions supplémentaires, et une adresse IP située à Hong Kong constituait la principale infrastructure contrôlée par l’attaquant. CrowdStrike estime, avec un degré de confiance modéré, que l’acteur malveillant est probablement sinophone et motivé par des considérations financières, compte tenu de l’utilisation d’ARTEX et des invites en chinois observées. Cette activité n’a pas été attribuée à un adversaire identifié.

S’appuyant sur des rapports du secteur, CrowdStrike a indiqué que, dans une banque touchée, l’acteur malveillant aurait piraté un service de consultation de l’état d’avancement des prêts utilisé par des courtiers financiers et que, dans une autre banque, il aurait compromis un système mobile d’assistance au travail destiné aux employés. Selon le rapport, cette activité montre que les outils d’IA peuvent permettre à un acteur malveillant motivé par l’appât du gain de mener plusieurs intrusions sur une courte période. CrowdStrike estime que les adversaires continueront probablement à expérimenter la mise en œuvre d’outils d’IA dans leurs opérations.