L’Institut sud-coréen de sécurité financière (FSI), l’organisme chargé d’enquêter sur une vague de piratages de banques, a lui-même été piraté.
Les attaquants ont obtenu environ 300 dossiers personnels de personnes travaillant dans le secteur financier.
Comment des pirates ont-ils pénétré dans l’agence sud-coréenne chargée de la sécurité financière ?
L’Institut sud-coréen de sécurité financière (FSI) a été piraté après que les attaquants ont exploité une faille dans son système de connexion.
Le pirate s’est fait passer pour un représentant du Service de surveillance financière (FSS) et a accédé au système du FSI par une page d’accès de secours, prévue pour les cas où la vérification par SMS n’est pas disponible. Cette page contournait les contrôles habituels.
Le faux compte FSS utilisé par les attaquants peut accéder aux fichiers de nombreuses institutions à la fois, contrairement à une entreprise ordinaire, qui ne peut consulter que ses propres fichiers. Selon certaines informations, les attaquants changeaient sans cesse d’adresse IP pour se fondre dans le trafic normal et ont fini par en utiliser plus de 100 différentes.
Le FSI a découvert la brèche le lundi 9 novembre. Après avoir mis hors service le système concerné, il a signalé l’incident à la Commission des services financiers et à l’Agence coréenne de l’Internet et de la sécurité.
La plateforme piratée était le système d’assistance à l’évaluation continue du FSI, sur lequel les sociétés financières déposent des documents pour des contrôles de sécurité. Environ 3 000 entreprises se soumettent à cet examen chaque année.
Environ 200 formulaires administratifs ont été divulgués, ainsi que plus de 300 dossiers personnels contenant des noms et des dates de naissance, et près de 350 dossiers d’utilisateurs avec des noms partiellement masqués et des numéros de téléphone.
La plupart des données personnelles concernaient des employés chargés des contrôles de sécurité dans les sociétés financières. À ce jour, plus de 40 entreprises ont été liées à la brèche.
Jusqu’à présent, aucun signalement ne fait état d’une fuite de renseignements sur le crédit des clients ou de relevés de transactions lors de la brèche. Le FSI a indiqué que ses schémas de réseau et les résultats de ses tests de vulnérabilité n’avaient pas été touchés. Il a également promis d’indemniser les victimes si les informations divulguées entraînent d’autres préjudices.
Le mardi 10 novembre, les données d’adresse IP de l’attaquant ont été transmises à la police. Le lendemain, les autorités de réglementation financière ont commencé à vérifier sur place la sécurité du FSI. Les enquêteurs cherchent toujours à comprendre comment le faux compte FSS a obtenu un accès légitime de niveau réglementaire.
Quelles conséquences le piratage du FSI pourrait-il avoir pour les banques et les plateformes d’échange de cryptomonnaies ?
Ce piratage tombe mal pour le FSI, qui est à la tête de la cyberdéfense du secteur financier coréen. Depuis 2025, il dirige également une équipe consacrée à la sécurité des actifs numériques, menée par un pirate informatique éthique, afin de renforcer les normes de sécurité des plateformes d’échange de cryptomonnaies.
Les plateformes d’échange coréennes ont été piratées à plusieurs reprises cette année. Par exemple, Bithumb a signalé le 27 octobre qu’une personne non autorisée avait accédé à son système interne de groupware mobile et exposé des informations sur ses employés. Daishin Securities (KRX : 003540) a indiqué que les données de 38 490 clients avaient été compromises.
Les autorités de réglementation ont dénombré plus de 4,4 millions de tentatives de balayage en une seule journée, provenant principalement de plages d’adresses IP nord-coréennes. Un responsable du FSI a toutefois mis en garde contre toute conclusion hâtive : les données IP peuvent être falsifiées ou redirigées et ne permettent pas, à elles seules, d’identifier l’auteur d’une attaque.
En octobre, la Commission des services financiers a déclaré que des attaques présumées pilotées par l’IA avaient visé 16 entreprises, notamment des banques, des banques d’épargne et des sociétés de cryptomonnaies. Ce nombre est passé à 20 à la fin du mois. Environ 100 000 dossiers ont été exposés. Les inspecteurs ayant examiné 555 entreprises ont relevé des problèmes de sécurité dans 130 d’entre elles.
Le 6 novembre, Gopax, qui appartient à Binance, a interrompu toutes les opérations et tous les transferts, puis déplacé les jetons de ses clients vers un stockage hors ligne à froid. La plateforme n’avait subi ni vol ni brèche, mais les autorités de réglementation ont recommandé de passer des portefeuilles à chaud aux portefeuilles à froid après une série de brèches, a rapporté Cryptopolitan.
Les esprits les plus brillants du monde des cryptomonnaies lisent déjà notre newsletter. Vous voulez en faire partie ? Rejoignez-les.