Sør-Koreas finanskommisjon varsler om en ny bølge av datainnbrudd i finanssektoren

Sør-Koreas finanskommisjon meldte 28. oktober 2026 om en ny runde med dataangrep mot landets finansnæring. Kommisjonen innkalte til et krisemøte for å undersøke et datainnbrudd hos kryptobørsen Bithumb og bekreftet at ytterligere kundeinformasjon var kommet på avveie hos Daishin Securities.

Krisemøtet ble ledet av Yu Yeong-jun, generaldirektør for digital finanspolitikk, og deltakere var Financial Supervisory Service (FSS), Financial Security Institute (FSI), alliansen av børser for digitale aktiva DAXA og Bithumb, opplyste finanskommisjonen i en kunngjøring på koreansk. Møtet tok for seg datainnbrudd som rammet store aktører innen virtuelle aktiva.

Bithumb opplyste myndighetene om at selskapet hadde bekreftet tegn på at unormal ekstern tilgang hadde ført til lekkasje av informasjon om ansatte i Bithumb, datterselskapene og partnerbedriftene, og at det fortsatt undersøkte om brukerinformasjon var kommet på avveie. Børsen opplyste også at det kompromitterte systemet støttet de ansattes arbeid, men ikke var den sentrale databehandlingsfasiliteten for handel med virtuelle aktiva. Så langt var det ikke bekreftet at informasjon som kunne brukes til falske betalinger eller overføringer av virtuelle aktiva, for eksempel adresser til lommebøker for virtuelle aktiva, var kommet på avveie.

Finanskommisjonen opplyste at det nylig var meldt om hendelser hos Mirae Asset Life Insurance og Mirae Asset Global Investments, og at ytterligere kundeinformasjon var kommet på avveie hos Daishin Securities i løpet av undersøkelsen av hendelsen. Daishin Securities publiserte en melding med tittelen «Melding om lekkasje av personopplysninger (kredittopplysninger) og en beklagelse» på sin offisielle oppslagstavle kl. 09.59 den 28. oktober 2026.

Myndighetenes respons og planlagte sikkerhetsoppgraderinger

Finanskommisjonen, FSS og FSI opplyste at de umiddelbart hadde satt i gang undersøkelser på stedet, rask informasjonsdeling mellom berørte myndigheter og tett samarbeid. De ville gjøre alt de kunne for å avdekke årsakene til hendelsene. Myndighetene sa at de ville undersøke forholdene grundig for å hindre at forbrukere ble skadelidende, og at de, dersom skade likevel oppsto, ville følge opp og føre tilsyn for å sikre at tiltak for å beskytte forbrukerne, som full erstatning, ble gjennomført.

Finanskommisjonen opplyste at den vil følge opp flere typer tiltak for å styrke sikkerheten i sektorer som ikke omfattes av loven om elektroniske finansielle transaksjoner, blant annet sektoren for virtuelle aktiva, slik at sikkerhetsnivået tilsvarer det hos store finansforetak som banker. Kommisjonen vil også sørge for at det er beredskap for rask respons når hendelser oppstår. For selskaper i den sekundære finanssektoren, blant annet Mirae Asset Life Insurance, Mirae Asset Global Investments og Daishin Securities, vil FSS og FSI gjennomføre grundige undersøkelser av hendelsene og tiltak for å beskytte ofrene, opplyste tilsynsmyndigheten.

Tidligere bølge av datainnbrudd i oktober

Opplysningene 28. oktober føyer seg til en rekke datainnbrudd som finanskommisjonen hadde begynt å håndtere tidligere i oktober 2026. På et møte 14. oktober 2026 om cybersikkerhet i finanssektoren opplyste finanskommisjonen at det var bekreftet datainnbrudd hos til sammen 16 selskaper på tvers av alle finanssektorene, ifølge tilsynsmyndighetens kunngjøring på engelsk. Omfanget ble anslått til rundt 100 000 kundedata, blant annet navn, kontaktinformasjon, personnummer og e-postadresser. På det tidspunktet var det ikke meldt om dataangrep der kontopassord eller kredittkortnumre var kommet på avveie.

Myndighetene påla de berørte selskapene straks å blokkere IP-adressene som var knyttet til dataangrepene, iverksette ytterligere tiltak som sikkerhetsoppdateringer eller stans i tjenester og gjøre alt som var nødvendig for å beskytte forbrukerne. Gjennom undersøkelser på stedet gransket FSS og FSI enkelthendelsene for å fastslå angrepsmetoder og -mønstre, om hendelsene hadde sammenheng med hverandre, om de stammet fra samme angriper, og om kunstig intelligens var blitt brukt i dataangrepene.

Alle de 555 finansforetakene hadde fylt ut en sjekkliste med 12 punkter om cybersikkerhet, ifølge kunngjøringen: 425 selskaper meldte at tiltakene for cybersikkerhetsstyring var tilfredsstillende, mens 130 avdekket områder med behov for forbedring. Manglene gjaldt hovedsakelig sikkerhetsoppdateringer eller kontrollsystemer, og forekom oftere innen elektroniske finansielle tjenester og nettbasert peer-to-peer-utlån. Ifølge kunngjøringen hadde disse sektorene relativt svakere cybersikkerhetskapasitet enn mer tradisjonelle sektorer.

På møtet 14. oktober drøftet myndighetene også fire politiske tiltak: en grundig gjennomgang av finansforetakenes systemer for cybersikkerhetsstyring; forbedrede rutiner for respons, slik at cybertrusler som enkeltforetak avdekker, raskt kan meldes til myndighetene og deles med andre finansforetak; et regelverk som krever hyppigere og regelmessige tester for å avdekke sårbarheter i cybersikkerheten; og vurdering av økt støtte til små og mellomstore finansforetak, slik at de kan håndtere cybersikkerhetsrisiko knyttet til kunstig intelligens.

Tidligere, 6. oktober 2026, utstedte FSC og FSS et forbrukervarsel på nivå I (Forsiktighet) om mulige phishingangrep og lånesvindel etter datainnbruddene der personopplysninger ble kompromittert, og innledet en særskilt responsperiode på én måned. Finansforetakene ble bedt om å opprette hjelpesentre for berørte forbrukere, styrke overvåkingen for å oppdage svindeltransaksjoner med stjålne forbrukerdata og aktivt bruke den KI-baserte anti-phishing-plattformen Sharing & Analysis Platform (ASAP) til å dele informasjon om phishing. På det tidspunktet var det ikke bekreftet noen phishing-svindelforsøk som hadde ført til økonomisk tap, og myndighetene sa at varselet ville bli hevet til nivå II (Advarsel) dersom det kom bekreftede tilfeller av følgeskader.

CrowdStrike beskriver kampanje med agentisk KI

CrowdStrike Intelligence rapporterte 7. oktober 2026 at de hadde identifisert infrastruktur knyttet til en målrettet kampanje mot sørkoreanske finansorganisasjoner, som førte til at data ble hentet ut, og som pågikk fra slutten av september til begynnelsen av oktober 2026. Ifølge rapporten brukte trusselaktøren i denne aktiviteten ARTEX, et nylig lansert verktøy for agentisk penetrasjonstesting med åpen kildekode, utviklet i Kina, sammen med store språkmodeller.

Rapporten opplyste at en analyse av åpne kataloger kontrollert av trusselaktøren avdekket øktlogger fra Claude Code, konfigurasjonsfiler for ARTEX og Claude-minnefiler. ARTEX-instansen brukte DeepSeek v4.1-flash som sin primære LLM-motor, supplert med GLM-5.3 og Grok 4.6 i flere økter, og en IP-adresse basert i Hongkong fungerte som den primære infrastrukturen kontrollert av angriperen. CrowdStrike vurderte med moderat grad av sikkerhet at trusselaktøren sannsynligvis er kinesisktalende og økonomisk motivert, basert på bruken av ARTEX og observerte instruksjoner på kinesisk; aktiviteten er ikke blitt tilskrevet en navngitt motstander.

Med henvisning til bransjerapporter sa CrowdStrike at trusselaktøren angivelig hadde brutt seg inn i en tjeneste for å undersøke status på lånesøknader, som brukes av finansmeglere, hos én berørt bank, og at aktøren hadde kompromittert et mobilt arbeidsstøttesystem for ansatte hos en annen bank. Rapporten sa at aktiviteten viser hvordan KI-verktøy kan gjøre det mulig for en økonomisk motivert trusselaktør å gjennomføre flere inntrengninger på kort tid, og CrowdStrike vurderte at motstandere sannsynligvis vil fortsette å eksperimentere med å ta i bruk KI-verktøy i virksomheten sin.