שנה אחרי ההבטחה ל'בדיקה מקיפה של כל המגזר הפיננסי': 16 חברות פיננסיות נפרצו ו-100 אלף רשומות דלפו – והרשויות חוזרות על אותן מילים
סיאול
יותר משנה לאחר שרשויות הפיקוח הפיננסי בדרום קוריאה הכריזו, בעקבות דליפת המידע בלוטה קארד, על "בדיקה מקיפה של האבטחה הפיננסית והגנת המידע בכל המגזר הפיננסי", נפרצו 16 חברות פיננסיות, ובהן ארבעה בנקים, וכ-100 אלף רשומות של מידע אישי דלפו. ועדת השירותים הפיננסיים (FSC) קיימה ב-14 בחודש ב-15:00 במתחם הממשלתי בסיאול את 「ישיבת התגובה למצב חירום השנייה」 בראשות שין ג'ין-צ'אנג (המזכירות הכללית), חשפה את היקף הנזק ומסרה כי בבדיקה עצמית של 555 החברות בכל המגזר הפיננסי דיווחו 130 חברות על ליקויים כמו אי-התקנת עדכוני האבטחה העדכניים והיעדר ניטור 24 שעות. הוועדה הציגה באותו יום שוב בדיקה מלאה והגברת אחריותם של המנכ"לים (CEO) כצעדים, אך מסרה כי היקף הבדיקה ולוח הזמנים שלה ייקבעו "בתיאום עם המגזר הפיננסי". בתקרית לוטה קארד לפני שנה הודיעה הוועדה כי תנהל ותפקח על "צעדי הגנת הצרכן של לוטה קארד, כגון פיצוי מלא", אך במסמכי הצעדים מ-14 בחודש המילה "פיצוי" אינה מופיעה.
יותר משנה אחרי ההבטחה ל"בדיקה מקיפה של כל המגזר הפיננסי", 16 חברות נפרצו
ב-18 בספטמבר 2025 קיימה הוועדה ישיבת חירום בנושא דליפת המידע בלוטה קארד בראשות סגן היו"ר קוון דה-יונג. הוועדה הציבה באותו יום כמשימה "בדיקה מקיפה של האבטחה הפיננסית והגנת המידע בכל המגזר הפיננסי ושיפור מוסדי יסודי", והודיעה: "בדיקת חירום של מוכנות האבטחה במגזר הפיננסי ושיפור מוסדי יסודי באבטחת המחשוב יתחילו גם הם מיד". בדברי קוון נדרשו החברות הפיננסיות "לבדוק מחדש באופן מקיף, באחריות המנכ"ל, את מערכות המחשוב ואת כל מערך הגנת המידע", ונכללה בהם אזהרה: "מאחר שגישה שאננה הרואה בהשקעה באבטחה עלות או עבודה נוספת עלולה לגרום למצב חמור". הוועדה הודיעה כי "בעת אירוע אבטחה חמור יונהג קנס עונשי החורג מרמת הקנסות הרגילה".
חודש לאחר מכן, ב-22 באוקטובר 2025, הציג משרד המדע והתקשוב יחד עם משרדי ממשלה נוספים את 「התוכנית הבין-משרדית המקיפה להגנת מידע」. את התדריך מסר סגן ראש הממשלה ושר המדע והתקשוב בה קיונג-הון, ולצדו גם שין ג'ין-צ'אנג, שבראש המזכירות הכללית של הוועדה. הממשלה הודיעה כי "תקדם מיד בדיקה רחבת היקף של פרצות אבטחה בכ-1,600 מערכות מחשוב שבהן משתמש רוב הציבור, כגון במגזר הציבורי, הפיננסי והתקשורת". גם "חיזוק אחריות המנכ"ל ותפקיד ה-CISO" ו"הנהגת קנסות עונשיים" נכללו בתוכנית.
פחות משנה לאחר מכן, ב-30 בספטמבר 2026, קיבלו רשויות הפיקוח הפיננסי דיווח על אירוע חדירה בבנק שינהאן. במסמכי הוועדה מ-2 באוקטובר נכתב כי "בעקבות מתקפות סייבר על חברות פיננסיות מרכזיות כגון בנק קוקמין נגרם נזק נוסף". החברות הנפגעות שפרסמה הוועדה ב-14 בחודש הן ארבעה בנקים (שינהאן, קוקמין, בוסאן, האנה), ארבעה בנקי חיסכון (יגארם, וולקם, DB, OK), שתי חברות אשראי ייעודיות (יונדאי קפיטל, KDB קפיטל), שתי פלטפורמות השקעה ואשראי מקוונות (PFCT, מוּדה), נותן שירותים פיננסיים אלקטרוניים אחד (ברייטפיקס), שני נותני שירותי נכסים וירטואליים (סטרימי, פראבאנג) וגוף פיננסי שיתופי אחד (ההתאחדות המרכזית של קופות האשראי סמאול גומגו). אלה 16 חברות בשבעה ענפים. הוועדה מסרה: "היקף דליפת המידע הוערך בכ-100 אלף רשומות (שם, פרטי קשר, מספר רישום תושב, דואר אלקטרוני וכו')", והוסיפה כי מספר החברות הנפגעות עשוי לגדול במהלך החקירה.
בשבועיים שלאחר קבלת הדיווח על התקרית בבנק שינהאן הלך וגדל מספר החברות הנפגעות שהופיעו במסמכי הרשויות. במסמכים מ-2 באוקטובר הופיעו בשמם בנק שינהאן ובנק קוקמין, ובמסמכי הישיבה בראשות יו"ר הוועדה ב-4 בחודש נמנו, ללא שמות, שבע חברות פיננסיות מרכזיות שדיווחו על חדירה. במסמכים מ-14 בחודש המספר הגיע ל-16.
ב-130 חברות פיננסיות חסרים יסודות כמו עדכוני אבטחה וניטור 24 שעות
הבדיקה הראשונה שהורו עליה רשויות הפיקוח לאחר הפרשה לא הייתה ביקורת בשטח של שירות הפיקוח הפיננסי (FSS), אלא בדיקה עצמית של החברות הפיננסיות. הרשויות הפיצו לרגל הישיבה מ-2 באוקטובר רשימת תיוג של 12 סעיפים, ועד 8 באוקטובר הגישו 555 חברות את תוצאותיהן. הוועדה מסרה: "בסך הכול 425 חברות הגישו 'תקין', ו-130 חברות דיווחו כי יש ליקויים". מדובר ב-23.4% מהחברות שנבדקו.
הליקויים היו "אי-התקנת עדכוני האבטחה העדכניים", "ניהול לקוי של מערכות שהתמיכה הטכנית של היצרן בהן הסתיימה (EOS: End of Support)", "היעדר מערך ניטור בזמן אמת (24 שעות)" ו"ניהול לקוי של משטח התקיפה". כדוגמאות לניהול לקוי של משטח התקיפה ציינה הוועדה "היעדר אימות והרשאה במערכות הפונות החוצה, ואי-הנהגת הליכי אימות מחוזקים (MFA) לשירותים חשובים". הוועדה מסרה כי "בענפי השירותים הפיננסיים האלקטרוניים ופלטפורמות ההשקעה והאשראי המקוונות, שיכולות האבטחה שלהם חלשות יחסית, נמצאו ליקויים רבים יחסית".
בעיית עדכוני האבטחה הייתה משימה שהוועדה עצמה הצביעה עליה חמישה חודשים קודם לכן. ב-22 במאי 2026 קיימה הוועדה 「מפגש בנושא התמודדות עם איומי אבטחה על המגזר הפיננסי מצד בינה מלאכותית בעלת ביצועים גבוהים」 והודיעה כי תכין ביוני הנחיות לאבטחת בינה מלאכותית. בהנחיות, כך נמסר, ייכללו "קריטריונים מעשיים כגון קריטריונים לסיווג משאבי מחשוב ו▲סדרי עדיפויות להתקנת עדכוני תוכנה". חברות פיננסיות קטנות ובינוניות ואחרים ביקשו אז "שתודיעו לנו את סדרי העדיפויות כדי שנוכל להתקין קודם את עדכוני האבטחה הדחופים". חמישה חודשים לאחר מכן עמד "אי-התקנת עדכוני האבטחה העדכניים" בראש הליקויים העיקריים בבדיקה העצמית.
הוועדה: "הורינו כמה פעמים" – ומצביעה על אי-ציות של החברות ליסודות
רשויות הפיקוח מסרו כי פעלו מיד לאחר התקרית. לדברי הוועדה, שירות הפיקוח הפיננסי והמכון לאבטחה פיננסית פתחו בחקירה בשטח ב-30 בספטמבר, ביום שבו התקבל הדיווח על התקרית בבנק שינהאן, והם עדיין חוקרים את נתיבי החדירה ואת שיטות התקיפה. הרשויות שיתפו את כתובות ה-IP של התוקפים עם כל המגזר הפיננסי, וקיימו ברצף ישיבות בראשות שין ב-2 וב-14 באוקטובר, וב-4 בחודש את 「ישיבת הבדיקה הדחופה של כל המגזר הפיננסי」 המשותפת לוועדה ולשירות הפיקוח בראשות יו"ר הוועדה לי אוג-וון. בישיבה ב-14 בחודש השתתפו גם משרד המדע והתקשוב, משרד הפנים והביטחון, הוועדה להגנת מידע אישי, סוכנות המשטרה הלאומית וסוכנות האינטרנט והאבטחה של קוריאה (KISA).
לדברי שין ג'ין-צ'אנג ב-14 בחודש, "למרות שהורינו כמה פעמים על בדיקות מלאות ועל הידוק הניהול בהזדמנויות שונות, כמו דליפת המידע בלוטה קארד ו'הלם מיתוס', נמצאו מקרים שבהם חברות פיננסיות אינן מקפידות על דברים בסיסיים, וזה כואב מאוד". ועוד בדברי שין: "מאחר שבתחום הפיננסי האמון והבטיחות חשובים מכול, ניהול אבטחה יסודי למניעת אירועי אבטחה הוא הכרחי". בדברי היו"ר לי אוג-וון ב-4 בחודש: "כל המגזר הפיננסי צריך לנצל את הפרשה הזאת כדי לבדוק מחדש מן היסוד את כל מערך אבטחת המידע, בנחישות יוצאת דופן ובערנות ברמה הגבוהה ביותר, ולהעלות את רמת האבטחה בדרגה".
כנתיב התקיפה הצביעה הוועדה על מערכות שבהן משתמש "כוח אדם חיצוני, כגון מגייסי הלוואות וקבלני משנה, שהיה הגורם לאירועי החדירה האחרונים". הוועדה הורתה "לחסום באופן עקרוני כל גישה חיצונית, למעט מקרים שבהם היא הכרחית למתן שירות לצרכנים או לביצוע העבודה", והודיעה כי אם למרות שיתוף מידע התקיפה "יתרחשו אירועי חדירה דומים, נפעל בתקיפות בהתאם לחוקים הרלוונטיים".
אם לקבל את דברי שין, הרשויות הורו שוב ושוב על בדיקות מלאות בתקרית לוטה קארד וב"הלם מיתוס". ובכל זאת, בבדיקה העצמית באוקטובר 2026 דיווחו בעצמן 130 מתוך 555 חברות כי אינן עומדות בסעיפים בסיסיים כמו עדכונים וניטור. גם שיטת הבדיקה השתנתה. בספטמבר 2025 הודיעה הוועדה כי "תפתח מיד בבדיקה של שירות הפיקוח הפיננסי למצב האבטחה בכל חברות כרטיסי האשראי", אך הבדיקה הראשונה של כל המגזר הפיננסי לאחר הפרשה באוקטובר 2026 הייתה בדיקה עצמית שבה החברות הפיננסיות מילאו והגישו רשימת תיוג.
הצעדים של לפני שנה ושל 14 בחודש חופפים: "אחריות מנכ"ל, בדיקה מלאה, שיפור מוסדי"
ארבעת מסלולי הצעדים שהציגה הוועדה ב-14 בחודש חופפים במידה רבה לניסוחים של לפני שנה. הסעיף הראשון הוא בדיקת אבטחה מקיפה. החברות הפיננסיות נדרשות "למפות ולעדכן את כל נקודות המגע שבהן מערכות המחשוב מתחברות לעולם החיצוני", והרשויות הודיעו כי ינחו ויפקחו כך ש"גם שרשרת הדיווח ותחומי האחריות של ה-CEO, ה-CISO, ה-CIO ואחרים יוגדרו בבירור". בספטמבר 2025 דרשה הוועדה "לבדוק מחדש באופן מקיף" את כל מערך הגנת המידע "באחריות המנכ"ל", ובתוכנית הבין-משרדית מאוקטובר אותה שנה נכלל "חיזוק אחריות המנכ"ל ותפקיד ה-CISO".
גם הקשחת הסנקציות חזרה על עצמה. הוועדה הודיעה ב-14 בחודש כי היא "מתכננת לקדם במהירות גם צעדי שיפור מוסדיים שונים להגברת אחריות המנכ"ל ולשיפור האפקטיביות של הסנקציות". בספטמבר 2025 הובטחו "קנסות עונשיים", ובתוכנית הבין-משרדית מאוקטובר "העלאת קנסות מינהליים ועיצומים כספיים, הנהגת קנסות כפייה וקנסות עונשיים". אחרי שנה עלה אותו עניין שוב כ"מתכננים לקדם". גם בתקן הקנסות החדש שאישרה הוועדה ב-21 בחודש, תקרת הקנס החוקית לפי חוק מידע האשראי נקבעה עקרונית על 3% מסך ההכנסות.
התוכנית הבין-משרדית מאוקטובר 2025 קבעה כי בדיקת פרצות האבטחה ב"כ-1,600 מערכות מחשוב", כולל במגזר הפיננסי, "תקודם מיד". שנה לאחר מכן, ב-14 באוקטובר 2026, העלתה הוועדה שוב בדיקה מלאה והודיעה כי את "היקף הבדיקה ולוח הזמנים המפורטים" "תקבע במהירות" בתיאום עם המגזר הפיננסי.
הצעדים החדשים נותרים ללא מועד, ב"במהירות" וב"בחינה"
המועד היחיד הנקוב בתאריך בהודעה לעיתונות מ-14 בחודש הוא מועד ההגשה (8 באוקטובר) של בדיקת רשימת התיוג שכבר הסתיימה. לכל הצעדים העתידיים אין מועד.
בתחום הזיהוי המוקדם של איומים, מערכת מידע על רמת איומי הבינה המלאכותית "מתוכננת לקום במהירות", ו"גם הקמת" תשתית לבדיקת פרצות מבוססת בינה מלאכותית "מקודמת". בתחום הפיקוח השוטף, בדיקת הפרצות והערכתן בחברות הפיננסיות, הנערכת כיום פעם בשנה (אתרי אינטרנט חיצוניים פעמיים בשנה), "תורחב לפעמיים בשנה או יותר" רק בחברות הגדולות, ובסיס לבדיקות של הרשויות בכל עת "ייבחן ויקודם". בתמיכה בחברות הקטנות והבינוניות, המכון לאבטחה פיננסית "בוחן" יחד עם איגודי הענפים וההתאחדויות המרכזיות הקמת מערכת ניטור אבטחה משותפת מבוססת בינה מלאכותית. לגבי חברות הלוואות וסוכנויות ביטוח תאגידיות (GA), שאינן כפופות לחוק העסקאות הפיננסיות האלקטרוניות, צעדים לחיזוק האבטחה "ייבחנו ויקודמו במהירות".
גם בישיבה הראשונה ב-2 באוקטובר הסתפקה הוועדה בהודעה כי תוצאות הבדיקה העצמית "יוגשו וידווחו בהקדם האפשרי". הבדיקה הסתיימה ב-8 בחודש, ועד 14 בחודש עלה מספר החברות הנפגעות שאושרו ל-16.
במאי: הקלה בהפרדת רשתות ופטור על תקלות עדכון; ב-21 בחודש: הורדת קנסות על הפרות קלות
לצד התגובה לפריצות המשיכו הרשויות גם בצעדים בכיוון של הקלה ברגולציה. במפגש ב-22 במאי הודיעה הוועדה כי "ההקלה בתקנות הפרדת הרשתות לשימוש בבינה מלאכותית למטרות אבטחה תקודם במהירות", והחליטה להקל זמנית בתקנות למשך שנה, לבקשתן, ל-49 חברות פיננסיות עם סך נכסים של 10 טריליון וון ומעלה ו-1,000 עובדים קבועים ומעלה. לגבי חברות פיננסיות בעלות יכולות גבוהות הודיעה הוועדה כי היא "מתכננת לבחון ולקדם גם ביטול מלא של תקנות הפרדת הרשתות". על תקלות מחשוב קלות שנגרמות בתהליך התקנת עדכוני אבטחה הודיעה כי "בכפוף לשחזור מהיר ולצעדי הגנת הצרכן, תקדם גם הקלה בסנקציות ופטור". בדברי סגן היו"ר קוון דה-יונג אז: "איומי האבטחה של בינה מלאכותית בעלת ביצועים גבוהים הם כמו נגיף הצטננות: הם אינם דבר שאפשר לחסום לחלוטין, אלא איום שצריך לחיות איתו ולנהל אותו". גם ב-14 בחודש, בדברי שין: "נקדם בקפדנות רבה יותר ובקצב מהיר יותר גם שיפורים מוסדיים כמו ההקלה בתקנות הפרדת הרשתות".
התיקון ל「תקנות הפיקוח על ענף מידע האשראי」 שאושר בישיבה הקבועה ה-18 ב-21 בחודש ייכנס לתוקף ב-23 בחודש. שיעורי הבסיס, שהיו בשלוש מדרגות של 50%, 75% ו-100%, הוחלפו בטווחים רציפים: 1% עד 30% להפרה קלה, 30% עד 65% להפרה חמורה ו-65% עד 100% להפרה חמורה מאוד. הדוגמה שהציגה הוועדה היא חברה פיננסית היפותטית עם הכנסות של 7 טריליון וון ורווח נקי של 700 מיליארד וון. קנס הבסיס על "הפרה בחומרה קלה" עם ציון חומרה של 1.2 יורד מ-105 מיליארד וון (שיעור בסיס 50%) ל-21 מיליארד וון (שיעור בסיס 10%), חמישית מהסכום הקודם. במקרה עם ציון חומרה של 2.5 מחשבים לפי התקן החדש 157.5 מיליארד וון בשיעור בסיס של 75%, ואז מוסיפים החמרה של 25%, 52.5 מיליארד וון, כך שהסכום נותר 210 מיליארד וון כמו בעבר.
הוועדה הסבירה כי על חזרה על אותה הפרה בתוך שלוש שנים או על דליפה רחבת היקף שבה נפגעים 10 מיליון בני אדם ומעלה אפשר להחמיר את קנס הבסיס בעד 100%. חיזוק וולונטרי של הגנת מידע האשראי האישי ויישום מהיר של צעדי הגנת הצרכן הורחבו כעילות להקלה. הדליפה הנוכחית ב-16 חברות, כ-100 אלף רשומות, רחוקה מאוד מסף ההחמרה של 10 מיליון בני אדם. הוראות המעבר נקבעות לפי סעיף 14 לחוק היסודות המינהליים: על הפרות שקדמו לתיקון חלות התקנות שהיו בתוקף בעת ההפרה, אך אם התקנות המתוקנות מיטיבות יותר, אפשר להחיל אותן. הוועדה הסבירה כי בפרסום שקוף של תקן הקנסות הגבירה את יכולת הצפייה.
ניסוח הפיצוי נסוג מ"פיקוח על פיצוי מלא" ל"צורך לעשות כמיטב היכולת"
בתקרית לוטה קארד בספטמבר 2025 הופיע במסמכי הוועדה "פיצוי מלא מראש במקרה של שימוש לרעה כתוצאה מאירוע החדירה" כצעד של לוטה קארד, והוועדה הודיעה כי "תנהל ותפקח מקרוב" על "צעדי הגנת הצרכן של לוטה קארד, כגון פיצוי מלא במקרה של נזק". התוכנית הבין-משרדית מאוקטובר אותה שנה הודיעה כי "כאשר פריצה מתרחשת בשל רשלנות אבטחה של חברה, נקל על נטל ההוכחה של הצרכן", וכי "תיבחן הקמת קרן" שתשתמש בהכנסות מהקנסות לתמיכה בנפגעים.
בפרשה הנוכחית נחלש ניסוח הפיצוי בדרגה אחת. במסמכי הישיבה מ-4 באוקטובר נכתב על חברות פיננסיות שאירע בהן אירוע חדירה כי "כאשר מאושר נזק לצרכנים, יש צורך למסור לצרכנים מידע מפורט ולעשות כמיטב היכולת כדי שתיקון הנזק והפיצוי ייעשו במהירות וללא תקלות". במסמכי הצעדים מ-14 בחודש, שחשפו נזק ב-16 חברות וכ-100 אלף רשומות, המילים "פיצוי" ו"תיקון נזק" אינן מופיעות אף לא פעם אחת.
הרשויות שמו דגש על חסימת נזק משני. ב-6 בחודש פרסמו את אזהרת הצרכנים 2026-26 בדרגת "זהירות", וקבעו את החודש שמ-6 בחודש כ"תקופת תגובה מיוחדת לנזק משני מדליפת מידע אישי". החברות הפיננסיות קיבלו הוראה להקים מוקדי ייעוץ ייעודיים ולחזק את מערכות זיהוי העסקאות החריגות (FDS). הרשויות מסרו: "עד כה לא אושר מקרה שבו כספי לקוחות יצאו בשל הונאה טלפונית או נזק אחר בקשר לתקריות דליפת המידע האישי האחרונות בחברות הפיננסיות". לפי הסבר הרשויות, המידע שדלף כולל מספרי רישום תושב, אך סיסמאות וסיסמאות חד-פעמיות (OTP) לא דלפו.
האמצעים למניעת נזק שעליהם הצביעו הרשויות הם ברובם שירותים שהצרכן צריך לבקש בעצמו. לשירותי החסימה של עסקאות אשראי, פתיחת חשבון מרחוק ובנקאות פתוחה הצטרפו עד סוף אוגוסט כ-7 מיליון בני אדם (הצטרפות כפולה אפשרית), וגם במערכת למניעת נזק לאנשים שמידעם האישי נחשף בפורטל Fine של שירות הפיקוח (fine.fss.or.kr) יש להירשם באופן אישי. לדברי הרשויות, פלטפורמת ASAP לשיתוף מידע על חשד להונאה במגזר הפיננסי, שהושקה באוקטובר 2025, עצרה עד אוגוסט 2026 תשלומים מ-7,666 חשבונות חשודים ומנעה נזק של כ-69.94 מיליארד וון.
מקורות (KST)
- ועדת השירותים הפיננסיים · 2026-10-14 · 금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다. 금융위 사무처장 주재, 「제2차 긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87927
- ועדת השירותים הפיננסיים · 2026-10-06 · 全금융권이 비상한 경각심을 갖고 침해위협에 대응해 나가겠습니다. - 금융위원장 주재 금융위·금감원 합동 「全금융권 긴급 점검회의」 개최 · https://www.fsc.go.kr/no010101/87876
- ועדת השירותים הפיננסיים · 2026-10-06 · 최근 금융권 개인정보 유출사고에 따른 보이스피싱·스미싱 등 피해에 주의하세요. · https://www.fsc.go.kr/no010101/87882
- ועדת השירותים הפיננסיים · 2026-10-02 · 최근 발생하는 금융권 침해위협에 면밀히 대응해 나가겠습니다. - 금융위원회 사무처장 주재 「긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87869
- ועדת השירותים הפיננסיים · 2026-10-21 · 신용정보법 과징금 부과의 예측 가능성을 한층 높였습니다. - ｢신용정보업감독규정｣ 개정안 제18차 정례 금융위원회 의결 · https://www.fsc.go.kr/no010101/87973
- ועדת השירותים הפיננסיים · 2026-05-26 · 금융권 AI 전환 본격화! 금융분야 망분리 규제를 완화하여 혁신은 넓게, 보안은 더 단단하게 하겠습니다. - ｢고성능 AI 관련 금융권 보안위협 대응 간담회｣ 실시 · https://www.fsc.go.kr/no010101/86972
- תדריך המדיניות של קוריאה (משרד המדע והתקשוב ומשרדי ממשלה נוספים) · 2025-10-22 · 범부처 정보보호 대책 발표…해킹 정황 시 기업 신고 없어도 조사 · https://www.korea.kr/news/policyNewsView.do?newsId=148952831
- ועדת השירותים הפיננסיים · 2025-09-18 · 롯데카드 정보유출 관련 긴급 대책회의 개최 · https://www.fsc.go.kr/no010101/85319