Komisja Usług Finansowych Korei Południowej ujawnia nową falę naruszeń bezpieczeństwa w sektorze finansowym

Komisja Usług Finansowych Korei Południowej ujawniła 28 października 2026 r. nową serię incydentów hakerskich w krajowym sektorze finansowym. Zwołała nadzwyczajne posiedzenie kontrolne w związku z naruszeniem bezpieczeństwa na giełdzie aktywów wirtualnych Bithumb i potwierdziła dodatkowy wyciek danych klientów Daishin Securities.

Jak podała Komisja Usług Finansowych w komunikacie w języku koreańskim, nadzwyczajnemu posiedzeniu przewodniczył Yu Yeong-jun, dyrektor generalny ds. polityki finansów cyfrowych, a uczestniczyli w nim Financial Supervisory Service (FSS), Financial Security Institute (FSI), sojusz giełd aktywów cyfrowych DAXA oraz Bithumb. Omawiano incydenty związane z naruszeniem bezpieczeństwa, które dotknęły głównych operatorów aktywów wirtualnych.

Bithumb poinformowała władze, że potwierdziła oznaki wycieku danych pracowników Bithumb, jej spółek zależnych i firm partnerskich wskutek nieautoryzowanego dostępu z zewnątrz oraz że nadal sprawdza, czy doszło do wycieku danych użytkowników. Giełda poinformowała również, że zaatakowany system służył pracownikom do wykonywania obowiązków, a nie stanowił podstawowej infrastruktury informatycznej obsługującej handel aktywami wirtualnymi. Jak dotąd nie potwierdzono wycieku danych, które można by wykorzystać do dokonania oszukańczych płatności lub transferów aktywów wirtualnych, takich jak adresy portfeli tych aktywów.

Komisja Usług Finansowych poinformowała, że w ostatnim czasie zgłoszenia dotyczące incydentów złożyły Mirae Asset Life Insurance i Mirae Asset Global Investments, a w toku postępowania wyjaśniającego potwierdzono dodatkowy wyciek danych klientów Daishin Securities. 28 października 2026 r. o godz. 09:59 Daishin Securities opublikowała na oficjalnej tablicy ogłoszeń komunikat zatytułowany „Zawiadomienie o wycieku danych osobowych (kredytowych) i przeprosiny”.

Reakcja regulatora i planowane wzmocnienie zabezpieczeń

Komisja Usług Finansowych, FSS i FSI poinformowały, że natychmiast rozpoczęły kontrole na miejscu, szybkie przekazywanie informacji między właściwymi instytucjami oraz ścisłą współpracę, a także dołożą wszelkich starań, by ustalić przyczyny incydentów. Władze oświadczyły, że dokładnie sprawdzą, czy nie doszło do szkód po stronie konsumentów, a jeśli do nich dojdzie, będą zarządzać działaniami i nadzorować ich przebieg, tak aby wdrożono środki ochrony konsumentów, takie jak pełna rekompensata.

Komisja Usług Finansowych poinformowała, że podejmie wieloaspektowe działania, aby w sektorach nieobjętych obecnie ustawą o transakcjach finansowych drogą elektroniczną, w tym w sektorze aktywów wirtualnych, podnieść poziom bezpieczeństwa do standardów obowiązujących w dużych instytucjach finansowych, takich jak banki, oraz zapewnić gotowość do szybkiego reagowania na incydenty. Regulator dodał, że FSS i FSI przeprowadzą szczegółowe postępowania wyjaśniające w sprawie incydentów oraz podejmą działania na rzecz ochrony poszkodowanych w firmach z drugorzędnego sektora finansowego, w tym Mirae Asset Life Insurance, Mirae Asset Global Investments i Daishin Securities.

Wcześniejsza fala naruszeń w październiku

Informacje ujawnione 28 października są kolejnymi doniesieniami o naruszeniach bezpieczeństwa, którymi Komisja Usług Finansowych zaczęła zajmować się wcześniej, w październiku 2026 r. Jak wynika z komunikatu w języku angielskim regulatora, podczas posiedzenia poświęconego zarządzaniu cyberbezpieczeństwem w sektorze finansowym, które odbyło się 14 października 2026 r., Komisja poinformowała, że łącznie w firmach ze wszystkich sektorów finansowych potwierdzono incydenty związane z naruszeniem bezpieczeństwa danych; dotyczyły one 16 firm. Szacowano, że naruszenia objęły około 100 000 rekordów danych klientów, w tym imiona i nazwiska, dane kontaktowe, numery rejestracyjne mieszkańców oraz adresy e-mail. Do tego czasu nie zgłoszono incydentów hakerskich obejmujących wyciek haseł do kont ani numerów kart kredytowych.

Władze nakazały poszkodowanym firmom niezwłocznie zablokować adresy IP powiązane z atakami hakerskimi, wdrożyć dodatkowe środki, takie jak poprawki zabezpieczeń lub zawieszenie usług, oraz podjąć wszelkie niezbędne działania w celu ochrony konsumentów. Podczas kontroli na miejscu FSS i FSI analizowały poszczególne incydenty, aby ustalić wektory i schematy ataków, sprawdzić, czy incydenty były ze sobą powiązane, czy stał za nimi ten sam atakujący oraz czy w atakach hakerskich wykorzystano sztuczną inteligencję.

Jak podano w komunikacie, wszystkie 555 firm finansowych wypełniło 12-punktową listę kontrolną cyberbezpieczeństwa: 425 firm oceniło swoje działania w zakresie zarządzania cyberbezpieczeństwem jako odpowiednie, a 130 wskazało obszary wymagające poprawy. Zgłoszone niedociągnięcia dotyczyły głównie poprawek zabezpieczeń lub systemów kontroli i częściej występowały w sektorze usług finansowych świadczonych drogą elektroniczną oraz pożyczek internetowych typu peer-to-peer. Według komunikatu sektory te miały stosunkowo mniejsze możliwości w zakresie cyberbezpieczeństwa niż bardziej tradycyjne branże.

Podczas posiedzenia 14 października władze omówiły również cztery działania w obszarze polityki: kompleksową kontrolę systemów zarządzania cyberbezpieczeństwem w firmach finansowych; usprawnienie mechanizmów reagowania, aby zagrożenia cybernetyczne wykrywane przez poszczególne firmy można było szybko zgłaszać władzom i przekazywać innym firmom finansowym; ustanowienie podstawy prawnej wymagającej częstszych i regularnych testów podatności na cyberataki; oraz rozważenie rozszerzenia wsparcia w zakresie cyberbezpieczeństwa dla małych i średnich firm finansowych, aby pomóc im reagować na zagrożenia związane z cyberbezpieczeństwem napędzane przez sztuczną inteligencję.

Wcześniej, 6 października 2026 r., FSC i FSS wydały ostrzeżenie dla konsumentów poziomu I (ostrożność) w związku z potencjalnymi atakami phishingowymi i oszustwami kredytowymi, do których mogło dojść po naruszeniach bezpieczeństwa danych osobowych, oraz rozpoczęły miesięczny specjalny okres reagowania. Firmom finansowym nakazano uruchomić punkty pomocy dla poszkodowanych konsumentów, wzmocnić monitorowanie podejrzanych transakcji z wykorzystaniem skradzionych danych konsumentów w celu wykrywania oszustw oraz aktywnie korzystać z opartej na sztucznej inteligencji platformy wymiany i analizy informacji o phishingu (ASAP), aby udostępniać informacje związane z phishingiem. Do tego czasu nie potwierdzono żadnych oszustw phishingowych, które doprowadziłyby do strat finansowych. Władze poinformowały, że ostrzeżenie zostanie podniesione do poziomu II (ostrzeżenie), jeśli pojawią się potwierdzone przypadki dalszych szkód.

CrowdStrike ujawnia szczegóły kampanii z wykorzystaniem agentowej sztucznej inteligencji

CrowdStrike Intelligence poinformował 7 października 2026 r., że zidentyfikował infrastrukturę powiązaną z ukierunkowaną kampanią przeciwko południowokoreańskim instytucjom finansowym, w wyniku której wykradziono dane. Działania prowadzono od końca września do początku października 2026 r. Z raportu wynika, że sprawca zagrożenia używał w ich trakcie ARTEX — niedawno udostępnionego narzędzia open source do testów penetracyjnych z wykorzystaniem agentów, opracowanego w Chinach — wraz z dużymi modelami językowymi.

W raporcie podano, że analiza otwartych katalogów kontrolowanych przez sprawcę zagrożenia ujawniła historię sesji Claude Code, pliki konfiguracyjne ARTEX oraz pliki pamięci Claude. Instancja ARTEX korzystała z DeepSeek v4.1-flash jako głównego zaplecza LLM, a w dodatkowych sesjach wykorzystywała również GLM-5.3 i Grok 4.6. Głównym elementem infrastruktury kontrolowanej przez atakującego był adres IP z Hongkongu. CrowdStrike z umiarkowaną pewnością ocenił, że sprawca zagrożenia prawdopodobnie mówi po chińsku i kieruje się motywami finansowymi. Ocena ta opiera się na wykorzystaniu ARTEX i zaobserwowanych promptach w języku chińskim; działań tych nie przypisano żadnemu znanemu przeciwnikowi.

Powołując się na raporty branżowe, CrowdStrike podał, że w jednym z zaatakowanych banków sprawca zagrożenia miał włamać się do usługi umożliwiającej pośrednikom finansowym sprawdzanie statusu wniosków kredytowych, a w innym banku przejął kontrolę nad mobilnym systemem wsparcia pracy pracowników. Według raportu działania te pokazują, jak narzędzia AI mogą umożliwić sprawcy kierującemu się motywami finansowymi przeprowadzenie wielu włamań w krótkim czasie. CrowdStrike ocenił, że przeciwnicy prawdopodobnie nadal będą eksperymentować z wdrażaniem narzędzi AI w swoich działaniach.