Un an après le « contrôle intégral de tout le secteur financier », 16 sociétés financières piratées et 100 000 données divulguées ; les autorités répètent les mêmes mesures

SÉOUL

Un an après que les autorités financières ont annoncé, à la suite de la fuite de données de Lotte Card, un « contrôle intégral de la sécurité financière et de la protection de l'information dans tout le secteur financier », 16 sociétés financières, dont quatre banques, ont été piratées et environ 100 000 données personnelles ont été dérobées. La Commission des services financiers (FSC) a tenu le 14 octobre à 15 heures, au complexe gouvernemental de Séoul, une « deuxième réunion d'urgence de réponse à la situation » présidée par Shin Jin-chang, qui dirige son secrétariat général ; elle y a rendu public l'ampleur des dommages et indiqué que, lors d'une autoévaluation menée par 555 sociétés de l'ensemble du secteur financier, 130 avaient signalé des lacunes telles que la non-application des derniers correctifs de sécurité ou l'absence de surveillance 24 heures sur 24. La FSC a de nouveau présenté ce jour-là, comme mesures, un contrôle exhaustif et le renforcement de la responsabilité des PDG, mais a indiqué que l'étendue et le calendrier des contrôles seraient fixés « en concertation avec le secteur financier ». Il y a un an, lors de l'incident de Lotte Card, la FSC s'était engagée à encadrer et superviser « les mesures de protection des consommateurs de Lotte Card, dont l'indemnisation intégrale », mais le mot « indemnisation » n'apparaît pas dans les documents des mesures du 14.

Un an après la promesse d'un « contrôle intégral de tout le secteur financier », 16 sociétés percées

Le 18 septembre 2025, la FSC a tenu, sous la présidence de son vice-président Kwon Dae-young, une réunion d'urgence sur la fuite de données de Lotte Card. La FSC s'était alors fixé pour objectif un « contrôle intégral de la sécurité financière et de la protection de l'information dans tout le secteur financier et une réforme institutionnelle de fond », et avait déclaré « lancer aussi immédiatement un contrôle d'urgence du dispositif de gestion de la sécurité du secteur financier et une réforme institutionnelle de fond en matière de sécurité informatique ». Le vice-président Kwon avait demandé aux établissements financiers de « procéder, sous la responsabilité du PDG, à un réexamen complet de l'ensemble des systèmes informatiques et des dispositifs de protection de l'information », et avait averti « dans la mesure où une attitude laxiste considérant l'investissement dans la sécurité comme un coût ou une tâche annexe peut entraîner une situation grave ». La FSC avait annoncé qu'elle introduirait, « en cas d'incident de sécurité grave, des sanctions pécuniaires punitives dépassant le niveau des sanctions pécuniaires ordinaires ».

Un mois plus tard, le 22 octobre 2025, le ministère de la Science et des TIC a présenté avec les ministères concernés un « plan global interministériel de protection de l'information ». Le vice-Premier ministre et ministre de la Science et des TIC Bae Kyung-hoon en a fait la présentation aux côtés de Shin Jin-chang, qui dirige le secrétariat général de la FSC. Le gouvernement avait déclaré qu'il « lance immédiatement un vaste contrôle des vulnérabilités de sécurité de quelque 1 600 systèmes informatiques utilisés par la grande majorité de la population, dans les secteurs public, financier, des télécommunications, etc. ». Le « renforcement de la responsabilité du PDG et du rôle du CISO » et l'« introduction de sanctions pécuniaires punitives » figuraient aussi dans le plan.

Moins d'un an plus tard, le 30 septembre 2026, les autorités financières ont reçu la déclaration d'un incident d'intrusion chez Shinhan Bank. Les documents de la FSC du 2 octobre indiquaient que « des cyberattaques contre de grands établissements financiers, dont Kookmin Bank, ont causé des dommages supplémentaires ». Les sociétés victimes rendues publiques par la FSC le 14 sont quatre banques (Shinhan, Kookmin, Busan et Hana), quatre caisses d'épargne (Yegaram, Welcome, DB et OK), deux sociétés de crédit spécialisé (Hyundai Capital et KDB Capital), deux plateformes de financement participatif en ligne (PFCT et Mouda), un opérateur de finance électronique (Brightfix), deux opérateurs d'actifs virtuels (Streami et Prabang) et un établissement de crédit mutuel (la Fédération des caisses Saemaul Geumgo). Soit 16 sociétés dans sept secteurs. La FSC a indiqué que « l'ampleur de la fuite est estimée à environ 100 000 données (noms, coordonnées, numéros d'enregistrement de résident, adresses électroniques, etc.) », et que le nombre de sociétés victimes pourrait augmenter au fil des enquêtes.

Dans les deux semaines qui ont suivi la déclaration de l'incident de Shinhan Bank, la liste des sociétés victimes figurant dans les documents des autorités n'a cessé de s'allonger. Dans les documents du 2 octobre, seules Shinhan Bank et Kookmin Bank étaient nommées ; les documents de la réunion présidée le 4 par le président de la FSC faisaient état, sans les nommer, de sept grands établissements financiers ayant déclaré une intrusion. Les documents du 14 en comptaient 16.

130 sociétés financières ne respectent pas les fondamentaux, comme les correctifs de sécurité et la surveillance 24 heures sur 24

Le premier contrôle lancé par les autorités financières après cette affaire n'a pas été une inspection sur place du Service de surveillance financière (FSS), mais une autoévaluation des établissements financiers. À l'occasion de la réunion du 2 octobre, les autorités ont diffusé une liste de contrôle de 12 points, et 555 sociétés ont remis leurs résultats au plus tard le 8 octobre. La FSC a indiqué qu'« à l'issue de la vérification, 425 sociétés au total ont déclaré une situation "conforme", et 130 ont signalé des lacunes ». Cela représente 23,4 % des sociétés contrôlées.

Les lacunes concernaient « la non-application des derniers correctifs de sécurité », « la gestion insuffisante des systèmes dont le support technique du fabricant a pris fin (EOS : End of Support) », « l'absence de dispositif de surveillance en temps réel (24 heures sur 24) » et « la gestion insuffisante de la surface d'attaque ». Comme exemples de gestion insuffisante de la surface d'attaque, la FSC a cité « l'absence d'authentification et d'autorisation pour les systèmes ouverts sur l'extérieur et la non-adoption de procédures d'authentification renforcée (MFA) pour les services importants ». La FSC a indiqué que « des lacunes relativement nombreuses ont été constatées dans les secteurs de la finance électronique et du financement participatif en ligne, dont les capacités de sécurité sont relativement faibles ».

Le problème des correctifs de sécurité avait été soulevé par la FSC elle-même cinq mois plus tôt. Le 22 mai 2026, la FSC a tenu une « réunion sur la réponse aux menaces de sécurité pour le secteur financier liées à l'IA de haute performance » et a annoncé qu'elle élaborerait en juin des lignes directrices sur la sécurité de l'IA. Elle avait indiqué que ces lignes directrices comprendraient des « critères pratiques, comme les critères de classification des ressources informatiques et ▲l'ordre de priorité des correctifs logiciels ». Des établissements financiers de petite et moyenne taille, notamment, avaient alors demandé qu'on « leur indique un ordre de priorité afin de pouvoir appliquer d'abord les correctifs de sécurité urgents ». Cinq mois plus tard, lors de l'autoévaluation, « la non-application des derniers correctifs de sécurité » est arrivée en tête des principales lacunes.

La FSC souligne le non-respect des fondamentaux par les établissements financiers, après les avoir « appelés à plusieurs reprises »

Les autorités financières ont expliqué avoir réagi dès la survenue de l'incident. Selon la FSC, le FSS et l'Institut de sécurité financière ont ouvert une enquête sur place le 30 septembre, le jour même où ils ont reçu la déclaration de l'incident de Shinhan Bank, et enquêtent toujours sur les voies d'intrusion et les modes d'attaque. Les autorités ont communiqué les adresses IP des attaquants à l'ensemble du secteur financier et ont tenu successivement des réunions présidées par le secrétaire général les 2 et 14 octobre, ainsi que, le 4, une « réunion d'urgence de contrôle de l'ensemble du secteur financier » conjointe de la FSC et du FSS présidée par le président de la FSC Lee Eok-won. Le ministère de la Science et des TIC, le ministère de l'Intérieur et de la Sécurité, la Commission de protection des informations personnelles, l'Agence nationale de la police et l'Agence coréenne de l'internet et de la sécurité (KISA) ont également participé à la réunion du 14.

Shin Jin-chang a souligné le 14 que « bien que nous ayons demandé à plusieurs reprises des vérifications exhaustives et un renforcement de la gestion, à diverses occasions comme la fuite de données de Lotte Card ou le choc Mythos, il est très douloureux de constater des cas où les établissements financiers ne respectent pas correctement les fondamentaux ». Shin Jin-chang a également déclaré que « la confiance et la sécurité étant primordiales dans le secteur financier, une gestion rigoureuse de la sécurité est indispensable pour prévenir les incidents de sécurité ». Le président Lee Eok-won avait déclaré le 4 que « l'ensemble du secteur financier doit, à l'occasion de cette affaire, faire preuve d'une détermination exceptionnelle et du plus haut niveau de vigilance, réexaminer de fond en comble l'ensemble de ses systèmes de sécurité de l'information et relever d'un cran son niveau de sécurité ».

La FSC a désigné comme voie d'attaque les systèmes utilisés par « le personnel externe, comme les intermédiaires de crédit et les sous-traitants, à l'origine des récents incidents d'intrusion ». La FSC a ordonné de « bloquer par principe tout accès externe, sauf lorsqu'il est indispensable à la fourniture de services aux consommateurs ou à l'exécution des tâches », et a indiqué que, malgré le partage des informations sur les attaques, « en cas de survenue d'incidents d'intrusion similaires, elle prévoit de réagir avec rigueur conformément aux lois et règlements applicables ».

D'après les propos de Shin Jin-chang, les autorités ont demandé à plusieurs reprises des contrôles exhaustifs lors de l'incident de Lotte Card et du choc Mythos. Pourtant, lors de l'autoévaluation d'octobre 2026, 130 des 555 sociétés ont elles-mêmes déclaré ne pas satisfaire à des points fondamentaux comme les correctifs et la surveillance. La méthode de contrôle a elle aussi changé. En septembre 2025, la FSC avait déclaré qu'elle « lance immédiatement un contrôle du FSS sur l'état de la sécurité de l'ensemble des sociétés de cartes de crédit », mais le premier contrôle de tout le secteur financier après l'affaire d'octobre 2026 a été une autoévaluation dans laquelle les établissements financiers remplissent et remettent une liste de contrôle.

Les mesures d'il y a un an et celles du 14 se recoupent : « responsabilité des PDG, contrôle exhaustif, réforme institutionnelle »

Les quatre axes de mesures présentés par la FSC le 14 recoupent largement la formulation d'il y a un an. Le premier est un contrôle de sécurité intégral. Les établissements financiers doivent « recenser et tenir à jour l'ensemble des points de connexion de leurs systèmes informatiques avec l'extérieur », et les autorités ont indiqué qu'elles encadreraient et superviseraient les établissements « pour qu'ils clarifient aussi les circuits de reporting et l'étendue des responsabilités du PDG, du CISO, du CIO, etc. ». En septembre 2025, la FSC avait exigé un « réexamen complet » de l'ensemble des dispositifs de protection de l'information « sous la responsabilité du PDG », et le plan interministériel d'octobre de la même année comprenait le « renforcement de la responsabilité du PDG et du rôle du CISO ».

Le renforcement des sanctions a lui aussi été répété. La FSC a déclaré le 14 qu'elle « prévoit aussi de mettre en œuvre rapidement diverses réformes institutionnelles visant notamment à renforcer la responsabilité des PDG et l'efficacité des sanctions ». En septembre 2025, elle avait promis des « sanctions pécuniaires punitives », et le plan interministériel d'octobre « le relèvement des amendes administratives et des sanctions pécuniaires, l'introduction d'astreintes et de sanctions pécuniaires punitives ». Un an plus tard, la même question réapparaît sous la forme d'un « projet à mettre en œuvre ». Dans le nouveau barème des sanctions pécuniaires adopté par la FSC le 21, le plafond légal prévu par la loi sur les informations de crédit reste fixé en principe à 3 % du chiffre d'affaires total.

Le plan interministériel d'octobre 2025 prévoyait de « lancer immédiatement » le contrôle des vulnérabilités de sécurité de « quelque 1 600 systèmes informatiques », y compris dans la finance. Un an plus tard, le 14 octobre 2026, la FSC a de nouveau proposé un contrôle exhaustif, en indiquant qu'elle « arrêterait rapidement » « l'étendue et le calendrier précis des contrôles » en concertation avec le secteur financier.

Les nouvelles mesures restent sans échéance, au stade du « rapidement » et de l'« examen »

La seule date précise figurant dans le communiqué du 14 est la date limite (8 octobre) du contrôle par liste, déjà achevé. Aucune des tâches à venir n'est assortie d'une échéance.

Dans le domaine de la détection précoce des menaces, la FSC a indiqué qu'un système d'information sur le niveau des menaces liées à l'IA « est prévu pour être mis en place rapidement » et qu'elle « poursuivra aussi la construction » d'une infrastructure de contrôle des vulnérabilités fondée sur l'IA. Dans le domaine de la supervision permanente, elle a indiqué qu'elle entendait porter « à au moins deux fois par an », pour les seuls grands établissements, la vérification et l'évaluation des vulnérabilités actuellement réalisées une fois par an (deux fois par an pour les sites web externes), et qu'une base juridique permettant aux autorités d'effectuer des contrôles inopinés « devrait être examinée et mise en œuvre ». En matière de soutien aux établissements de petite et moyenne taille, l'Institut de sécurité financière « examinera », avec les associations et fédérations sectorielles, la mise en place d'un système commun de surveillance de sécurité fondé sur l'IA. Pour les sociétés de prêt et les agences générales d'assurance (GA), non soumises à la loi sur les transactions financières électroniques, la FSC a indiqué qu'elle « examinerait et mettrait en œuvre rapidement » des mesures de renforcement de la sécurité.

Lors de la première réunion du 2 octobre déjà, la FSC s'était contentée d'indiquer qu'elle « prévoit de faire soumettre et rapporter » les résultats de l'autoévaluation « dans les plus brefs délais ». Le contrôle s'est achevé le 8, et le nombre de sociétés victimes confirmées est passé à 16 au 14.

En mai, assouplissement de la séparation des réseaux et exonération pour les pannes liées aux correctifs ; le 21, baisse des sanctions pour les infractions légères

Parallèlement à la réponse aux piratages, les autorités ont continué de prendre des mesures allant dans le sens d'un assouplissement de la réglementation. Lors de la réunion du 22 mai, la FSC a déclaré qu'elle « met en œuvre rapidement l'assouplissement de la réglementation sur la séparation des réseaux pour l'utilisation de l'IA à des fins de sécurité », et a décidé de lever temporairement cette réglementation pendant un an, sur demande, pour 49 établissements financiers dont l'actif total atteint au moins 10 000 milliards de wons et qui emploient en permanence au moins 1 000 salariés. Pour les établissements financiers dotés de capacités avancées, elle a indiqué qu'elle « prévoit aussi d'examiner et de mettre en œuvre une levée totale de la réglementation sur la séparation des réseaux ». Pour les pannes informatiques mineures survenues lors de l'application de correctifs de sécurité, elle a déclaré qu'elle « mettra aussi en œuvre l'atténuation des sanctions ou l'exonération, à condition d'un rétablissement rapide et de mesures de protection des consommateurs ». Le vice-président Kwon Dae-young avait alors déclaré que « les menaces de sécurité liées à l'IA de haute performance sont comme le virus du rhume : ce n'est pas quelque chose que l'on peut bloquer complètement, mais une menace avec laquelle il faut vivre et qu'il faut gérer ». Shin Jin-chang a encore déclaré le 14 : « Nous poursuivrons de manière plus approfondie et plus rapide les réformes institutionnelles, notamment l'assouplissement de la réglementation sur la séparation des réseaux. »

Le projet de révision du « règlement de supervision des activités d'information de crédit », adopté le 21 lors de la 18e réunion ordinaire, entre en vigueur le 23. Les trois paliers de taux de base (50 %, 75 % et 100 %) sont remplacés par des fourchettes continues : 1 à 30 % pour les infractions légères, 30 à 65 % pour les infractions graves et 65 à 100 % pour les infractions très graves. L'exemple cité par la FSC est celui d'un établissement financier fictif réalisant un chiffre d'affaires de 7 000 milliards de wons et un bénéfice net de 700 milliards de wons. Pour une « infraction de faible gravité » avec un score de gravité de 1,2 point, la sanction de base passe de 105 milliards de wons (taux de base de 50 %) à 21 milliards de wons (taux de base de 10 %), soit un cinquième. Pour un cas avec un score de gravité de 2,5 points, le nouveau barème donne 157,5 milliards de wons avec un taux de base de 75 %, auxquels s'ajoute une majoration de 25 % de 52,5 milliards de wons, soit 210 milliards de wons, comme auparavant.

La FSC a expliqué qu'en cas de récidive de la même infraction dans un délai de trois ans ou de fuite massive touchant plus de 10 millions de personnes, la sanction de base pourrait être majorée jusqu'à 100 %. Le renforcement volontaire de la protection des informations de crédit personnelles et la mise en œuvre rapide de mesures de protection des consommateurs ont été élargis comme motifs d'atténuation. La présente fuite, qui touche 16 sociétés et environ 100 000 données, reste très en deçà du seuil de majoration de 10 millions de personnes. Les mesures transitoires suivent l'article 14 de la loi-cadre sur l'administration : les infractions commises avant la révision restent soumises au règlement en vigueur au moment des faits, mais le règlement révisé peut s'appliquer s'il est plus favorable. La FSC a expliqué avoir amélioré la prévisibilité en rendant public de manière transparente le barème des sanctions pécuniaires.

Sur l'indemnisation des victimes, la formule recule de la « supervision de l'indemnisation intégrale » à la « nécessité de faire de son mieux »

En septembre 2025, lors de l'incident de Lotte Card, les documents de la FSC mentionnaient parmi les mesures de Lotte Card « l'indemnisation intégrale préalable en cas d'utilisation frauduleuse résultant de l'incident d'intrusion », et la FSC avait déclaré qu'elle « encadrerait et superviserait étroitement » « les mesures de protection des consommateurs de Lotte Card, dont l'indemnisation intégrale en cas de dommages ». Le plan interministériel d'octobre de la même année prévoyait d'« alléger la charge de la preuve pesant sur les consommateurs lorsqu'un piratage résulte d'une négligence de l'entreprise en matière de sécurité » et d'« examiner la création d'un fonds » utilisant le produit des sanctions pécuniaires pour soutenir les victimes.

Dans la présente affaire, la formule sur l'indemnisation s'est affaiblie d'un cran. Les documents de la réunion du 4 octobre indiquaient, à propos des établissements financiers victimes d'intrusions, qu'« il est nécessaire de faire de son mieux pour que, lorsque des dommages aux consommateurs sont confirmés, les consommateurs reçoivent des informations détaillées et que la réparation et l'indemnisation des dommages se fassent rapidement et sans accroc ». Les documents des mesures du 14, qui ont rendu publics les dommages touchant 16 sociétés et environ 100 000 données, ne contiennent pas une seule fois les mots « indemnisation » et « réparation des dommages ».

Les autorités ont mis l'accent sur la prévention des dommages secondaires. Le 6, elles ont émis l'alerte consommateurs n° 2026-26 au niveau « attention » et ont fixé une « période d'intervention spéciale contre les dommages secondaires liés aux fuites d'informations personnelles » d'un mois à compter du 6. Elles ont ordonné aux établissements financiers d'ouvrir des guichets de conseil dédiés et de renforcer leurs systèmes de détection des transactions anormales (FDS). Les autorités ont indiqué qu'« à ce jour, aucun cas de fonds de clients détournés à la suite de dommages tels que l'hameçonnage vocal en lien avec les récentes fuites d'informations personnelles des établissements financiers n'a été constaté ». Selon les autorités, les informations divulguées comprennent des numéros d'enregistrement de résident, mais ni les mots de passe ni les mots de passe à usage unique (OTP) n'ont fuité.

Les moyens de prévention indiqués par les autorités sont pour la plupart des services auxquels les consommateurs doivent eux-mêmes s'inscrire. Le service de blocage préventif pour les opérations de crédit, l'ouverture de comptes à distance et l'open banking comptait fin août environ 7 millions d'inscrits (doublons possibles), et le système de prévention des incidents pour les personnes dont les informations personnelles ont été exposées, sur le portail FINE du FSS (fine.fss.or.kr), exige lui aussi une inscription individuelle. Selon les autorités, la plateforme de partage d'informations sur les soupçons de fraude du secteur financier ASAP a suspendu, depuis son lancement en octobre 2025 et jusqu'en août 2026, les paiements de 7 666 comptes suspects et évité environ 69,94 milliards de wons de préjudice.

Sources (KST)

• Commission des services financiers · 2026-10-14 · 금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다. 금융위 사무처장 주재, 「제2차 긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87927
• Commission des services financiers · 2026-10-06 · 全금융권이 비상한 경각심을 갖고 침해위협에 대응해 나가겠습니다. - 금융위원장 주재 금융위·금감원 합동 「全금융권 긴급 점검회의」 개최 · https://www.fsc.go.kr/no010101/87876
• Commission des services financiers · 2026-10-06 · 최근 금융권 개인정보 유출사고에 따른 보이스피싱·스미싱 등 피해에 주의하세요. · https://www.fsc.go.kr/no010101/87882
• Commission des services financiers · 2026-10-02 · 최근 발생하는 금융권 침해위협에 면밀히 대응해 나가겠습니다. - 금융위원회 사무처장 주재 「긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87869
• Commission des services financiers · 2026-10-21 · 신용정보법 과징금 부과의 예측 가능성을 한층 높였습니다. - ｢신용정보업감독규정｣ 개정안 제18차 정례 금융위원회 의결 · https://www.fsc.go.kr/no010101/87973
• Commission des services financiers · 2026-05-26 · 금융권 AI 전환 본격화! 금융분야 망분리 규제를 완화하여 혁신은 넓게, 보안은 더 단단하게 하겠습니다. - ｢고성능 AI 관련 금융권 보안위협 대응 간담회｣ 실시 · https://www.fsc.go.kr/no010101/86972
• Korea Policy Briefing (ministère de la Science et des TIC et ministères concernés) · 2025-10-22 · 범부처 정보보호 대책 발표…해킹 정황 시 기업 신고 없어도 조사 · https://www.korea.kr/news/policyNewsView.do?newsId=148952831
• Commission des services financiers · 2025-09-18 · 롯데카드 정보유출 관련 긴급 대책회의 개최 · https://www.fsc.go.kr/no010101/85319