Институт финансовой безопасности Южной Кореи (FSI), расследующий серию взломов банков, сам подвергся взлому.
Злоумышленники получили доступ примерно к 300 персональным записям людей, работающих в финансовом секторе.
Как хакеры проникли в южнокорейское агентство по финансовой безопасности?
Институт финансовой безопасности Южной Кореи (FSI) подвергся взлому после того, как злоумышленники воспользовались уязвимостью в системе входа в аккаунт.
Хакер выдал себя за сотрудника Службы финансового надзора (FSS) и получил доступ к системе FSI через резервную страницу входа, предназначенную для случаев, когда подтверждение по SMS недоступно. На этой странице не выполнялись обычные проверки.
Поддельная учётная запись FSS, которой пользовались злоумышленники, позволяла просматривать файлы сразу многих учреждений, в отличие от обычной компании, которая может открывать только свои собственные. По сообщениям, злоумышленники постоянно меняли IP-адреса, чтобы их трафик выглядел обычным, и в итоге использовали более 100 разных адресов.
FSI обнаружил утечку в понедельник, 9 ноября. После отключения затронутой системы ведомство сообщило об инциденте Комиссии по финансовым услугам и Корейскому агентству по интернету и безопасности.
Взломанной платформой стала Система поддержки непрерывной оценки FSI, куда финансовые компании загружают документы для проверок безопасности. Ежегодно такую проверку проходят около 3 000 компаний.
Также утекли около 200 административных форм, более 300 записей с именами и датами рождения и около 350 пользовательских записей с частично скрытыми именами и номерами телефонов.
Большая часть персональных данных принадлежала сотрудникам финансовых компаний, которые занимаются проверками безопасности. На данный момент с утечкой связали более 40 компаний.
На данный момент нет сообщений об утечке кредитной информации клиентов или данных о транзакциях. FSI заявило, что схемы его сети и результаты тестирования на уязвимости не пострадали. Ведомство также пообещало выплатить компенсацию, если утечка информации приведёт к дальнейшему ущербу.
Во вторник, 10 ноября, полиции передали данные об IP-адресах злоумышленника. На следующий день финансовые регуляторы начали выездную проверку безопасности FSI. Следователи всё ещё пытаются выяснить, как поддельная учётная запись FSS получила легитимный доступ на уровне регулятора.
Что взлом FSI означает для банков и криптобирж?
Взлом произошёл в неудачный для FSI момент: ведомство возглавляет киберзащиту финансового сектора Кореи. С 2025 года оно также руководит командой по безопасности цифровых активов, которую возглавляет этичный хакер. Цель команды — повысить стандарты безопасности на криптобиржах.
В этом году корейские биржи неоднократно подвергались взломам. Например, 27 октября Bithumb сообщила, что посторонний получил доступ к её внутренней системе мобильного группового взаимодействия и раскрыл данные сотрудников. Daishin Securities (KRX: 003540) заявила о компрометации данных 38 490 клиентов.
Регуляторы насчитали более 4,4 миллиона попыток сканирования за один день, в основном с IP-адресов, относящихся к северокорейским диапазонам. Однако представитель FSI предостерёг от поспешных выводов: данные об IP-адресах можно подделать или перенаправить, и сами по себе они не позволяют установить, кто стоит за атакой.
В октябре Комиссия по финансовым услугам сообщила о предполагаемых атаках с использованием ИИ на 16 компаний, включая банки, сберегательные банки и криптовалютные компании. К концу месяца их число выросло до 20. Было раскрыто около 100 000 записей. Инспекторы, проверившие 555 компаний, обнаружили проблемы с безопасностью у 130 из них.
6 ноября Gopax, принадлежащая Binance, остановила все торги и переводы и переместила токены клиентов в автономное холодное хранилище. Биржу не грабили и не взламывали, однако после череды взломов регуляторы рекомендовали перейти с горячих кошельков на холодные, сообщило издание Cryptopolitan.
Самые проницательные умы криптоиндустрии уже читают нашу рассылку. Хотите к ним присоединиться?