Das südkoreanische Financial Security Institute (FSI), die Behörde, die eine Welle von Bank-Hacks untersucht, wurde selbst gehackt.
Die Angreifer erbeuteten etwa 300 persönliche Datensätze von Menschen, die im Finanzsektor arbeiten.
Wie drangen Hacker in Südkoreas Finanzsicherheitsbehörde ein?
Das südkoreanische Financial Security Institute (FSI) wurde gehackt, nachdem die Angreifer eine Schwachstelle im Anmeldesystem des Instituts ausgenutzt hatten.
Der Hacker gab sich als Mitarbeiter des Financial Supervisory Service (FSS) aus und verschaffte sich über eine Backup-Zugangsseite Zugang zum System des FSI. Diese Seite war für Fälle gedacht, in denen keine SMS-Verifizierung möglich ist. Sie umging die üblichen Sicherheitsprüfungen.
Das gefälschte FSS-Konto, das die Angreifer nutzten, kann gleichzeitig Dateien von vielen Institutionen einsehen – anders als ein normales Unternehmen, das nur auf seine eigenen Dateien zugreifen kann. Berichten zufolge änderten die Angreifer ständig ihre IP-Adressen, um wie normaler Datenverkehr auszusehen, und verwendeten schließlich mehr als 100 verschiedene Adressen.
Die FSI entdeckte den Einbruch am Montag, dem 9. November. Nachdem sie das betroffene System abgeschaltet hatte, meldete sie den Vorfall der Finanzdienstleistungskommission und der Korea Internet & Security Agency.
Bei der gehackten Plattform handelte es sich um das Continuous Evaluation Support System der FSI, auf das Finanzunternehmen Dokumente für Sicherheitsprüfungen hochladen. Jedes Jahr durchlaufen etwa 3.000 Unternehmen diese Prüfung.
Neben mehr als 300 personenbezogenen Datensätzen mit Namen und Geburtsdaten wurden etwa 200 Verwaltungsformulare sowie rund 350 Nutzerdatensätze mit teilweise unkenntlich gemachten Namen und Telefonnummern offengelegt.
Die meisten personenbezogenen Daten gehörten Beschäftigten von Finanzunternehmen, die für Sicherheitsprüfungen zuständig sind. Bislang werden mehr als 40 Unternehmen mit dem Datenleck in Verbindung gebracht.
Bislang gibt es keine Berichte darüber, dass beim Einbruch Kundendaten zu Kreditinformationen oder Transaktionsaufzeichnungen offengelegt wurden. Die FSI erklärte, ihre Netzwerkdiagramme und die Ergebnisse ihrer Schwachstellentests seien nicht betroffen. Außerdem versprach sie, Entschädigung zu zahlen, falls die offengelegten Informationen weitere Schäden verursachen.
Am Dienstag, dem 10. November, wurden der Polizei die IP-Daten des Angreifers übergeben. Am folgenden Tag begannen die Finanzaufsichtsbehörden mit einer Vor-Ort-Prüfung der Sicherheitssysteme der FSI. Die Ermittler versuchen weiterhin herauszufinden, wie das gefälschte FSS-Konto legitimen Zugriff auf Aufsichtsbehördenebene erlangte.
Was bedeutet der Hack der FSI für Banken und Kryptobörsen?
Der Zeitpunkt des Hacks ist für die FSI ungünstig, da sie die Cyberabwehr der koreanischen Finanzbranche anführt. Seit 2025 betreibt sie außerdem ein von einem ethischen Hacker geleitetes Team, das sich auf die Sicherheit digitaler Vermögenswerte konzentriert und die Sicherheitsstandards bei Kryptobörsen erhöhen soll.
Koreanische Börsen wurden in diesem Jahr wiederholt gehackt. So berichtete Bithumb am 27. Oktober, dass sich eine unbefugte Person Zugang zu seinem internen mobilen Groupware-System verschafft und Mitarbeiterdaten offengelegt hatte. Daishin Securities (KRX: 003540) erklärte, dass Daten von 38.490 Kunden kompromittiert worden seien.
Die Aufsichtsbehörden zählten an einem einzigen Tag mehr als 4,4 Millionen Scanversuche, die überwiegend aus nordkoreanischen IP-Adressbereichen stammten. Ein FSI-Beamter warnte jedoch davor, daraus Schlüsse zu ziehen, da IP-Daten gefälscht oder umgeleitet werden können und für sich genommen nicht beweisen, wer hinter einem Angriff steckt.
Im Oktober erklärte die Finanzdienstleistungskommission, dass mutmaßlich KI-gestützte Angriffe 16 Unternehmen getroffen hätten, darunter Banken, Sparkassen und Kryptounternehmen. Bis zum Monatsende stieg diese Zahl auf 20. Rund 100.000 Datensätze wurden offengelegt. Prüfer, die 555 Unternehmen unter die Lupe nahmen, stellten bei 130 davon Sicherheitsprobleme fest.
Am 6. November stellte Gopax, das zu Binance gehört, den gesamten Handel und alle Überweisungen ein und verlegte die Token seiner Kunden in einen Offline-Cold-Storage. Die Börse war weder ausgeraubt noch gehackt worden, doch die Aufsichtsbehörden empfahlen nach einer Reihe von Sicherheitsvorfällen den Wechsel von Hot- zu Cold-Wallets, berichtete Cryptopolitan.
Die klügsten Köpfe der Kryptobranche lesen bereits unseren Newsletter. Möchten Sie dabei sein? Schließen Sie sich ihnen an.