Un año después de la 'inspección integral de todo el sector financiero', 16 entidades hackeadas y 100.000 registros filtrados: las autoridades repiten las mismas medidas
SEÚL
Más de un año después de que las autoridades financieras proclamaran una "inspección integral de la seguridad financiera y la protección de la información en todo el sector financiero" tras la filtración de datos de Lotte Card, 16 entidades financieras, entre ellas 4 bancos, fueron hackeadas y salieron unos 100.000 registros de datos personales. La Comisión de Servicios Financieros (FSC) celebró el día 14 a las 15:00, en el Complejo Gubernamental de Seúl, la «Segunda reunión de respuesta a la situación de emergencia», presidida por Shin Jin-chang, titular de la Secretaría General, hizo pública la magnitud de los daños e informó de que, en la autoinspección de 555 entidades de todo el sector, 130 reportaron deficiencias como la no aplicación de los últimos parches de seguridad o la falta de un sistema de monitorización 24 horas. La FSC volvió a presentar ese día como medidas una inspección exhaustiva y el refuerzo de la responsabilidad de los consejeros delegados (CEO), pero dijo que el alcance y el calendario de la inspección se decidirán "en consulta con el sector financiero". Hace un año, en el incidente de Lotte Card, la FSC dijo que gestionaría y supervisaría "las medidas de protección al consumidor de Lotte Card, como la compensación íntegra", pero en el documento de medidas del día 14 no aparece la palabra 'compensación'.
Más de un año después de prometer una 'inspección integral de todo el sector', 16 entidades vulneradas
La FSC celebró el 18 de septiembre de 2025 una reunión urgente sobre la filtración de datos de Lotte Card, presidida por Kwon Dae-young, vicepresidente de la FSC. La FSC se fijó ese día como tarea una "inspección integral de la seguridad financiera y la protección de la información en todo el sector financiero y una mejora institucional de fondo" y afirmó que "también pone en marcha de inmediato una inspección urgente de la postura de gestión de la seguridad del sector financiero y una mejora institucional de fondo en materia de seguridad informática". Kwon pidió a las entidades financieras que "bajo la responsabilidad del CEO, revisen de nuevo de forma integral el conjunto de los sistemas informáticos y del sistema de protección de la información" y advirtió: "dado que una actitud complaciente que considera la inversión en seguridad un coste o una tarea adicional puede provocar una situación grave". La FSC dijo que "introducirá multas punitivas que superen el nivel de las multas ordinarias en caso de incidentes de seguridad graves".
Un mes después, el 22 de octubre de 2025, el Ministerio de Ciencia y TIC presentó junto con otros ministerios el «Plan integral interministerial de protección de la información». Informó a la prensa el viceprimer ministro y ministro de Ciencia y TIC, Bae Kyung-hoon, y también compareció Shin Jin-chang, titular de la Secretaría General de la FSC. El Gobierno dijo que "pone en marcha de inmediato una inspección a gran escala de las vulnerabilidades de seguridad de unos 1.600 sistemas de TI que utiliza la mayoría de la población, como los del sector público, financiero y de telecomunicaciones". El plan incluía también "el refuerzo de la responsabilidad del CEO y del papel del CISO" y "la introducción de multas punitivas".
Menos de un año después, el 30 de septiembre de 2026, las autoridades financieras recibieron la notificación del incidente de intrusión en Shinhan Bank. En el documento de la FSC del 2 de octubre se escribió que "se produjeron daños adicionales por ciberataques contra las principales entidades financieras, como KB Kookmin Bank". Las entidades afectadas que hizo públicas la FSC el día 14 son 4 bancos (Shinhan, Kookmin, Busan y Hana), 4 cajas de ahorro (Yegaram, Welcome, DB y OK), 2 compañías financieras especializadas en crédito (Hyundai Capital y KDB Capital), 2 empresas de financiación en línea (PFCT y Mouda), 1 empresa de servicios financieros electrónicos (Brightfixx), 2 proveedores de servicios de activos virtuales (Streami y Prabang) y 1 entidad de finanzas mutuas (Federación Central de Cajas Saemaeul). Son 16 entidades de 7 sectores. La FSC afirmó que "el volumen de la filtración de información se ha estimado en unos 100.000 registros (nombre, datos de contacto, número de registro de residente, correo electrónico, etc.)" y dijo que el número de entidades afectadas podría aumentar durante la investigación.
En las dos semanas posteriores a la notificación del incidente de Shinhan Bank, las entidades afectadas que figuraban en los documentos de las autoridades no dejaron de aumentar. En el documento del 2 de octubre aparecían con su nombre Shinhan Bank y Kookmin Bank, y el documento de la reunión del día 4, presidida por el presidente de la FSC, recogía sin nombres a 7 entidades financieras principales que habían notificado intrusiones. En el documento del día 14 pasaron a ser 16.
130 entidades financieras carecen de lo básico, como parches de seguridad y monitorización 24 horas
La primera inspección que sacaron las autoridades financieras tras este caso no fue una inspección in situ del Servicio de Supervisión Financiera (FSS), sino una autoinspección de las propias entidades. Las autoridades distribuyeron con motivo de la reunión del 2 de octubre una lista de comprobación de 12 puntos, y hasta el 8 de octubre 555 entidades presentaron sus resultados. La FSC indicó que "según los resultados de la inspección, un total de 425 entidades los presentaron como 'adecuados' y 130 informaron de que tenían deficiencias". Es el 23,4 % de las entidades inspeccionadas.
Las deficiencias fueron "no aplicación de los últimos parches de seguridad", "gestión insuficiente de sistemas sin soporte técnico del fabricante (EOS: End of Support)", "falta de un sistema de monitorización en tiempo real (24 horas)" y "gestión insuficiente de la superficie de ataque". Como ejemplo de gestión insuficiente de la superficie de ataque, la FSC citó "la omisión de autenticación y autorización en los sistemas externos y la no introducción de procedimientos de autenticación reforzada (MFA) para los servicios importantes". La FSC dijo que "se detectaron relativamente más deficiencias en los sectores de servicios financieros electrónicos y de financiación en línea, cuya capacidad de seguridad es relativamente más débil".
El problema de los parches de seguridad era una tarea que la propia FSC había señalado cinco meses antes. La FSC celebró el 22 de mayo de 2026 la «Reunión sobre la respuesta a las amenazas de seguridad para el sector financiero relacionadas con la IA de alto rendimiento» y anunció que elaboraría en junio unas directrices de seguridad de IA. Dijo que las directrices incluirían "criterios prácticos como los criterios de clasificación de los recursos informáticos y ▲la prioridad de los parches de programas". Las entidades financieras pequeñas y medianas, entre otras, propusieron entonces que "se les indiquen las prioridades para poder aplicar primero los parches de seguridad más urgentes". Cinco meses después, en la autoinspección, la "no aplicación de los últimos parches de seguridad" encabezó la lista de las principales deficiencias.
La FSC dice que "lo ha ordenado en repetidas ocasiones" y señala el incumplimiento de lo básico por parte de las entidades
Las autoridades financieras explicaron que actuaron desde inmediatamente después del incidente. Según la FSC, el FSS y el Instituto de Seguridad Financiera iniciaron una investigación in situ el mismo día en que recibieron la notificación del incidente de Shinhan Bank, el 30 de septiembre, y siguen investigando la vía de intrusión y el método de ataque. Las autoridades compartieron las direcciones IP de los atacantes con todo el sector financiero y celebraron sucesivamente las reuniones del 2 y el 14 de octubre, presididas por Shin, titular de la Secretaría General, y la «Reunión de inspección urgente de todo el sector financiero» conjunta de la FSC y el FSS del día 4, presidida por Lee Eog-weon, presidente de la FSC. En la reunión del día 14 participaron también el Ministerio de Ciencia y TIC, el Ministerio del Interior y Seguridad, la Comisión de Protección de la Información Personal, la Agencia Nacional de Policía y la Agencia de Internet y Seguridad de Corea (KISA).
Shin señaló el día 14: "Pese a que hemos ordenado en repetidas ocasiones inspecciones exhaustivas y un refuerzo de la gestión con diversos motivos, como la filtración de datos de Lotte Card y el shock de Mythos, que se hayan detectado casos en los que las entidades financieras no cumplen bien aspectos básicos es algo muy doloroso". Shin dijo: "Dado que en el sector financiero la confianza y la seguridad son lo más importante, una gestión de seguridad exhaustiva para prevenir incidentes de seguridad es imprescindible". Lee Eog-weon dijo el día 4: "Todo el sector financiero debe, con motivo de este caso, revisar desde cero el conjunto de su sistema de seguridad de la información con una determinación extraordinaria y el máximo nivel de alerta, y elevar un grado su nivel de seguridad".
La FSC señaló como vía de ataque los sistemas que utiliza "personal externo, como captadores de préstamos y empresas subcontratadas, que ha sido la causa de los recientes incidentes de intrusión". La FSC ordenó "bloquear en principio todo acceso externo, salvo cuando sea indispensable para prestar servicios a los consumidores o desempeñar las tareas", y afirmó que, si pese a haberse compartido la información de los ataques "se producen incidentes de intrusión similares, se responderá con rigor conforme a la legislación pertinente".
Según lo dicho por Shin, las autoridades ordenaron reiteradamente inspecciones exhaustivas con el incidente de Lotte Card y el shock de Mythos. Aun así, en la autoinspección de octubre de 2026, 130 de las 555 entidades reportaron por sí mismas que no contaban con elementos básicos como los parches y la monitorización. También cambió el método de inspección. En septiembre de 2025 la FSC dijo que "iniciará de inmediato la inspección del FSS sobre la situación de seguridad de todas las compañías de tarjetas", pero la primera inspección de todo el sector financiero tras el caso de octubre de 2026 fue una autoinspección en la que las entidades rellenaron y presentaron una lista de comprobación.
Las medidas de hace un año y las del día 14 coinciden en 'responsabilidad del CEO, inspección exhaustiva y mejora institucional'
Las medidas en cuatro ejes que presentó la FSC el día 14 coinciden en gran parte con la redacción de hace un año. El primer punto es una inspección de seguridad integral. Las entidades financieras deben "inventariar y actualizar todos los puntos de contacto en los que los sistemas informáticos se conectan con el exterior", y las autoridades dijeron que orientarán y supervisarán para que "también se aclaren la cadena de información y el ámbito de responsabilidad del CEO, el CISO, el CIO, etc.". Lo que exigió la FSC en septiembre de 2025 fue "revisar de nuevo de forma integral" el conjunto del sistema de protección de la información "bajo la responsabilidad del CEO", y el plan interministerial de octubre de ese año incluía "el refuerzo de la responsabilidad del CEO y del papel del CISO".
El endurecimiento de las sanciones también se repitió. La FSC afirmó el día 14 que "prevé impulsar cuanto antes diversas mejoras institucionales para reforzar la responsabilidad del CEO y aumentar la eficacia de las sanciones". En septiembre de 2025 prometió "multas punitivas", y en el plan interministerial de octubre, "elevar las multas administrativas y las sanciones económicas e introducir multas coercitivas y multas punitivas". Un año después, el mismo asunto vuelve a figurar como 'previsto impulsar'. En los nuevos criterios de sanciones económicas aprobados por la FSC el día 21, el límite legal de imposición según la Ley de Información Crediticia sigue fijado, en principio, en el 3 % de la facturación total.
El plan interministerial de octubre de 2025 decía que "pone en marcha de inmediato" la inspección de vulnerabilidades de seguridad de "unos 1.600 sistemas de TI", incluidos los financieros. Un año después, el 14 de octubre de 2026, la FSC volvió a sacar una inspección exhaustiva y dijo que "el alcance y el calendario concretos de la inspección" se "fijarán con rapidez" en consulta con el sector financiero.
Las nuevas medidas quedan sin plazo, en 'cuanto antes' y 'estudio'
El único calendario con fecha en el comunicado del día 14 es la fecha límite (8 de octubre) de la inspección con lista de comprobación, ya concluida. Todo lo que queda por hacer carece de plazo.
En el área de detección temprana de amenazas, el sistema de información sobre el nivel de amenazas de IA "se prevé elaborar cuanto antes", y la infraestructura de inspección de vulnerabilidades basada en IA "también se impulsará su construcción". En el área de supervisión permanente, se impulsará una fórmula para "ampliar a dos o más veces al año", solo para las grandes entidades, la inspección y evaluación de vulnerabilidades de las entidades financieras, que ahora es anual (dos veces al año para las páginas web externas), y la base para que las autoridades inspeccionen en cualquier momento "está previsto estudiarla e impulsarla". En el apoyo a las entidades pequeñas y medianas, el Instituto de Seguridad Financiera, junto con las asociaciones y federaciones centrales de cada sector, "estudia" la construcción de un sistema conjunto de monitorización de seguridad basado en IA. Para los prestamistas y las agencias corporativas de seguros (GA), que no están sujetos a la Ley de Transacciones Financieras Electrónicas, se dijo que se "estudiarán e impulsarán cuanto antes" medidas de refuerzo de la seguridad.
En la primera reunión del 2 de octubre, la FSC también se limitó a decir que "prevé que se presenten e informen" los resultados de la autoinspección "en el plazo más breve posible". La inspección concluyó el día 8 y, hasta el día 14, las entidades afectadas confirmadas aumentaron a 16.
En mayo, flexibilización de la separación de redes y exención por fallos de parches; el día 21, rebaja de multas por infracciones leves
Junto con la respuesta a los hackeos, las autoridades también han seguido adoptando medidas en la dirección de flexibilizar la regulación. En la reunión del 22 de mayo, la FSC dijo que "impulsará con rapidez la flexibilización de la regulación de separación de redes para el uso de la IA con fines de seguridad" y decidió levantar temporalmente la regulación durante un año, si lo solicitaban, a 49 entidades financieras con activos totales de 10 billones de wones o más y 1.000 empleados permanentes o más. Para las entidades financieras con un alto nivel de capacidad, dijo que "también prevé estudiar e impulsar una fórmula para levantar por completo la regulación de separación de redes". Para los fallos informáticos leves surgidos en el proceso de aplicación de parches de seguridad, dijo que "también impulsará la atenuación o exención de sanciones, siempre que haya una rápida recuperación y medidas de protección al consumidor". Kwon Dae-young, vicepresidente de la FSC, dijo entonces: "Las amenazas de seguridad de la IA de alto rendimiento son como el virus del resfriado: no son algo que pueda bloquearse por completo, sino una amenaza con la que hay que convivir y gestionarla". Shin dijo también el día 14: "Impulsaremos con más detalle y rapidez las mejoras institucionales, como la flexibilización de la regulación de separación de redes".
La modificación del «Reglamento de supervisión del negocio de información crediticia», aprobada el día 21 en la 18.ª reunión ordinaria, entra en vigor el día 23. Las tasas de referencia de imposición, que tenían tres niveles (50 %, 75 % y 100 %), pasaron a tramos continuos: del 1 % al 30 % para infracciones leves, del 30 % al 65 % para infracciones graves y del 65 % al 100 % para infracciones muy graves. El ejemplo que dio la FSC es el de una entidad financiera hipotética con ventas de 7 billones de wones y un beneficio neto de 700.000 millones de wones. La multa básica de una 'infracción de gravedad leve', con una puntuación de gravedad de 1,2 puntos, pasa de 105.000 millones de wones (tasa de referencia del 50 %) a 21.000 millones de wones (tasa de referencia del 10 %), una quinta parte. En el caso con una puntuación de gravedad de 2,5 puntos, con el nuevo criterio se calculan 157.500 millones de wones con una tasa de referencia del 75 % y luego se suman 52.500 millones de wones de agravante del 25 %, con lo que resultan 210.000 millones de wones, igual que antes.
La FSC explicó que permitió agravar la multa hasta el 100 % de la multa básica en caso de reincidencia en la misma infracción en un plazo de 3 años o de filtraciones a gran escala que afecten a 10 millones de personas o más. El refuerzo voluntario de la protección de la información crediticia personal y la rápida aplicación de medidas de protección al consumidor se ampliaron como causas de atenuación. Esta filtración de 16 entidades y unos 100.000 registros queda muy por debajo del criterio de agravación de 10 millones de personas. Las disposiciones transitorias siguen el artículo 14 de la Ley Básica de Administración: a las infracciones anteriores a la modificación se les aplica el reglamento vigente en el momento de la infracción, pero puede aplicarse el reglamento modificado si es más favorable. La FSC explicó que, al publicar de forma transparente los criterios de las multas, aumentó la previsibilidad.
La redacción sobre la compensación de daños retrocede de 'gestionar y supervisar la compensación íntegra' a 'es necesario hacer todo lo posible'
En el incidente de Lotte Card de septiembre de 2025, el documento de la FSC recogía como medida de Lotte Card la "compensación previa íntegra en caso de uso fraudulento derivado del incidente de intrusión", y la FSC dijo que "gestionaría y supervisaría de cerca" "las medidas de protección al consumidor de Lotte Card, como la compensación íntegra en caso de producirse daños relacionados". El plan interministerial de octubre de ese año afirmó que, "si se produce un hackeo por negligencia de seguridad de una empresa, se aliviará la carga de la prueba del consumidor" y que "se estudia la creación de un fondo" que destine los ingresos por multas al apoyo a las víctimas.
En este caso, la redacción sobre la compensación se debilitó un grado. El documento de la reunión del 4 de octubre indicó, sobre las entidades financieras en las que se produjeron incidentes de intrusión, que "si se confirman daños a los consumidores, es necesario hacer todo lo posible para notificar información detallada a los consumidores y para que la reparación de daños y la compensación, entre otras cosas, se lleven a cabo con rapidez y sin contratiempos". En el documento de medidas del día 14, que hizo públicos los daños de 16 entidades y unos 100.000 registros, las palabras 'compensación' y 'reparación de daños' no aparecen ni una sola vez.
Las autoridades pusieron el peso en bloquear los daños secundarios. El día 6 emitieron la alerta al consumidor n.º 2026-26 con el nivel de 'precaución' y fijaron un mes a partir del día 6 como 'periodo especial de respuesta a los daños secundarios de la filtración de datos personales'. Ordenaron a las entidades financieras habilitar ventanillas de atención específicas y reforzar los sistemas de detección de transacciones anómalas (FDS). Las autoridades afirmaron: "Hasta el momento no se ha confirmado ningún caso en el que hayan salido fondos de clientes por daños como el phishing de voz en relación con este incidente de filtración de datos personales de las entidades financieras". Según la explicación de las autoridades, la información filtrada incluye números de registro de residente, pero no salieron contraseñas ni contraseñas de un solo uso (OTP).
Los medios de prevención de daños que indicaron las autoridades son en su mayoría servicios que el consumidor debe solicitar por sí mismo. El bloqueo de seguridad de operaciones de crédito, apertura de cuentas no presencial y banca abierta contaba con unos 7 millones de suscriptores (se permite la suscripción múltiple) a finales de agosto, y el sistema de prevención de incidentes para personas con datos personales expuestos de FINE (fine.fss.or.kr), del FSS, también requiere que el propio interesado se registre. Las autoridades dijeron que ASAP, la plataforma del sector financiero para compartir información sobre sospechas de fraude, suspendió desde su lanzamiento en octubre de 2025 hasta agosto de 2026 los pagos de 7.666 cuentas sospechosas y evitó daños por unos 69.940 millones de wones.
Fuentes (KST)
- Comisión de Servicios Financieros · 2026-10-14 · 금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다. 금융위 사무처장 주재, 「제2차 긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87927
- Comisión de Servicios Financieros · 2026-10-06 · 全금융권이 비상한 경각심을 갖고 침해위협에 대응해 나가겠습니다. - 금융위원장 주재 금융위·금감원 합동 「全금융권 긴급 점검회의」 개최 · https://www.fsc.go.kr/no010101/87876
- Comisión de Servicios Financieros · 2026-10-06 · 최근 금융권 개인정보 유출사고에 따른 보이스피싱·스미싱 등 피해에 주의하세요. · https://www.fsc.go.kr/no010101/87882
- Comisión de Servicios Financieros · 2026-10-02 · 최근 발생하는 금융권 침해위협에 면밀히 대응해 나가겠습니다. - 금융위원회 사무처장 주재 「긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87869
- Comisión de Servicios Financieros · 2026-10-21 · 신용정보법 과징금 부과의 예측 가능성을 한층 높였습니다. - ｢신용정보업감독규정｣ 개정안 제18차 정례 금융위원회 의결 · https://www.fsc.go.kr/no010101/87973
- Comisión de Servicios Financieros · 2026-05-26 · 금융권 AI 전환 본격화! 금융분야 망분리 규제를 완화하여 혁신은 넓게, 보안은 더 단단하게 하겠습니다. - ｢고성능 AI 관련 금융권 보안위협 대응 간담회｣ 실시 · https://www.fsc.go.kr/no010101/86972
- Korea Policy Briefing (Ministerio de Ciencia y TIC y otros ministerios) · 2025-10-22 · 범부처 정보보호 대책 발표…해킹 정황 시 기업 신고 없어도 조사 · https://www.korea.kr/news/policyNewsView.do?newsId=148952831
- Comisión de Servicios Financieros · 2025-09-18 · 롯데카드 정보유출 관련 긴급 대책회의 개최 · https://www.fsc.go.kr/no010101/85319