Sydkoreas FSC avslöjar en ny våg av intrång i finanssektorn

Sydkoreas finanskommission (FSC) offentliggjorde den 28 oktober 2026 en ny omgång hackerattacker mot landets finansbransch. Kommissionen sammankallade ett krismöte med anledning av ett intrång hos kryptobörsen Bithumb och bekräftade att ytterligare kunduppgifter hade läckt från Daishin Securities.

Krismötet leddes av Yu Yeong-jun, generaldirektör för digital finanspolitik, och deltog gjorde Financial Supervisory Service (FSS), Financial Security Institute (FSI), alliansen för börser för digitala tillgångar DAXA och Bithumb, uppgav FSC i ett pressmeddelande på koreanska. Mötet behandlade intrång som drabbat stora aktörer inom virtuella tillgångar.

Bithumb uppgav för myndigheterna att företaget hade bekräftat tecken på att obehörig extern åtkomst lett till att uppgifter om anställda hos Bithumb, dess dotterbolag och partnerföretag hade läckt, och att det fortfarande undersökte om användaruppgifter hade läckt. Börsen uppgav också att det drabbade systemet användes för de anställdas arbete och inte var den centrala IT-infrastrukturen för handel med virtuella tillgångar. Hittills hade inget läckage bekräftats av uppgifter som kan användas för bedrägliga betalningar eller överföringar av virtuella tillgångar, till exempel adresser till plånböcker för virtuella tillgångar.

FSC uppgav att incidentrapporter nyligen hade lämnats in av Mirae Asset Life Insurance och Mirae Asset Global Investments, och att ytterligare kunduppgifter från Daishin Securities hade visat sig ha läckt under incidentutredningen. Daishin Securities publicerade ett meddelande med rubriken ”Meddelande om läcka av personuppgifter (kreditinformation) och en ursäkt” på sin officiella anslagstavla klockan 09:59 den 28 oktober 2026.

Tillsynsmyndigheternas åtgärder och planerade säkerhetsförbättringar

FSC, FSS och FSI uppgav att de omedelbart inlett inspektioner på plats, snabb informationsdelning mellan berörda myndigheter och ett nära samarbete, och att de skulle göra allt för att fastställa orsakerna till incidenterna. Myndigheterna uppgav att de skulle kontrollera noggrant för att säkerställa att ingen konsument drabbas av skada och, om skada ändå uppstår, utöva tillsyn och hantera ärendet så att konsumentskyddsåtgärder, såsom full ersättning, genomförs.

FSC uppgav att kommissionen kommer att vidta åtgärder på flera fronter för att stärka säkerheten till samma nivå som hos stora finansföretag, såsom banker, inom sektorer som för närvarande inte omfattas av lagen om elektroniska finansiella transaktioner, däribland sektorn för virtuella tillgångar, samt säkerställa beredskap för snabba insatser när incidenter inträffar. För företag inom den sekundära finanssektorn, däribland Mirae Asset Life Insurance, Mirae Asset Global Investments och Daishin Securities, kommer FSS och FSI att genomföra grundliga incidentutredningar och vidta åtgärder för att skydda de drabbade, uppgav tillsynsmyndigheten.

Den tidigare intrångsvågen i oktober

Uppgifterna den 28 oktober utgör en fortsättning på en serie intrång som FSC började hantera tidigare i oktober 2026. Vid ett möte den 14 oktober 2026 om cybersäkerhetshantering inom finanssektorn uppgav FSC att det hade bekräftats att sammanlagt 16 företag inom samtliga finanssektorer hade drabbats av dataintrång, enligt tillsynsmyndighetens pressmeddelande på engelska. Intrången uppskattades ha omfattat omkring 100 000 kunduppgifter, däribland namn, kontaktuppgifter, personnummer och e-postadresser. Vid den tidpunkten hade inga hackerattacker med läckta kontolösenord eller kreditkortsnummer rapporterats.

Myndigheterna instruerade de drabbade företagen att omedelbart blockera IP-adresser med koppling till hackerattackerna, vidta ytterligare åtgärder, såsom att installera säkerhetsuppdateringar eller stänga av tjänster, och genomföra alla nödvändiga konsumentskyddsåtgärder. FSS och FSI granskade enskilda incidenter på plats för att fastställa angreppsvägar och angreppsmönster, om incidenterna hade samband med varandra, om de hade sitt ursprung hos samma angripare och om artificiell intelligens hade använts vid hackerattackerna.

Samtliga 555 finansföretag hade fyllt i en checklista med 12 punkter för cybersäkerhet, enligt pressmeddelandet: 425 företag uppgav att deras cybersäkerhetsåtgärder var tillfredsställande, medan 130 identifierade områden som behövde förbättras. De rapporterade bristerna rörde främst säkerhetsuppdateringar eller kontrollsystem och förekom oftare inom elektroniska finanstjänster och sektorn för lån mellan privatpersoner online, som enligt pressmeddelandet hade en relativt lägre cybersäkerhetskapacitet än mer traditionella sektorer.

Vid mötet den 14 oktober diskuterade myndigheterna också fyra politiska åtgärder: en genomgripande granskning av finansföretagens system för cybersäkerhetshantering; förbättrade rutiner för hantering av incidenter, så att cyberhot som identifieras av enskilda företag snabbt kan rapporteras till myndigheterna och delas med andra finansföretag; ett regelverk som kräver tätare och mer regelbundna tester av cyberhot och sårbarheter; samt möjligheten att utöka cybersäkerhetsstödet till små och medelstora finansföretag för att hjälpa dem att hantera cybersäkerhetsrisker som drivs av AI.

Tidigare, den 6 oktober 2026, utfärdade FSC och FSS en konsumentvarning på nivå I (försiktighet) om möjliga nätfiskeattacker och lånebedrägerier efter läckorna av personuppgifter, och inledde en särskild insatsperiod på en månad. Finansföretagen instruerades att ha supportfunktioner för berörda konsumenter, stärka övervakningen för att upptäcka bedrägerier vid misstänkta transaktioner där stulna konsumentuppgifter användes och aktivt använda den AI-baserade nätfiskebekämpningsplattformen Sharing & Analysis Platform (ASAP) för att dela information om nätfiske. Vid den tidpunkten hade inga nätfiskebedrägerier som lett till ekonomisk skada bekräftats, och myndigheterna uppgav att varningen skulle höjas till nivå II (varning) om bekräftade fall av efterföljande skador upptäcktes.

CrowdStrike redogör för AI-agentkampanj

CrowdStrike Intelligence rapporterade den 7 oktober 2026 att organisationen hade identifierat infrastruktur kopplad till en riktad kampanj mot sydkoreanska finansorganisationer, som ledde till att data fördes ut och pågick från slutet av september till början av oktober 2026. Enligt rapporten använde hotaktören i samband med aktiviteten ARTEX, ett nyligen lanserat verktyg med öppen källkod för agentbaserad penetrationstestning, utvecklat i Kina, tillsammans med stora språkmodeller.

Enligt rapporten avslöjade en analys av öppna kataloger som kontrollerades av hotaktören sessionshistorik från Claude Code, konfigurationsfiler för ARTEX och minnesfiler från Claude. ARTEX-instansen använde DeepSeek v4.1-flash som primär backend för LLM, med GLM-5.3 och Grok 4.6 som komplement för ytterligare sessioner, och en IP-adress baserad i Hongkong utgjorde den primära infrastruktur som kontrollerades av angriparen. CrowdStrike bedömde med måttlig säkerhet att hotaktören sannolikt är kinesisktalande och har ekonomiska motiv, baserat på användningen av ARTEX och observerade promptar på kinesiska; aktiviteten har inte tillskrivits någon namngiven motståndare.

Med hänvisning till branschrapporter uppgav CrowdStrike att hotaktören enligt uppgift bröt sig in i en tjänst för förfrågningar om låneärendens status, som används av finansiella mäklare, hos en av de drabbade bankerna, och att aktören komprometterade ett mobilt arbetsstödsystem för anställda hos en annan bank. Enligt rapporten visar aktiviteten hur AI-verktyg kan göra det möjligt för en hotaktör med ekonomiska motiv att genomföra flera intrång under en kort tidsperiod, och CrowdStrike bedömde att angripare sannolikt kommer att fortsätta experimentera med att införa AI-verktyg i sin verksamhet.