Un anno dopo l'«ispezione generale dell'intero settore finanziario», violate 16 società e 100.000 dati sottratti: le autorità ripetono le stesse misure

SEUL

Oltre un anno dopo che le autorità finanziarie avevano annunciato una "ispezione generale della sicurezza finanziaria e della protezione delle informazioni in tutto il settore finanziario" in seguito alla fuga di dati di Lotte Card, 16 società finanziarie, tra cui 4 banche, sono state violate da hacker e sono usciti circa 100.000 dati personali. La Commissione per i servizi finanziari (FSC) ha tenuto il 14 alle 15:00, nel Complesso governativo di Seul, la «Seconda riunione di risposta alla situazione di emergenza», presieduta da Shin Jin-chang, a capo della segreteria generale, ha reso nota l'entità dei danni e ha riferito che, nell'autoverifica di 555 società dell'intero settore, 130 hanno segnalato carenze come la mancata applicazione delle patch di sicurezza più recenti o l'assenza di un sistema di monitoraggio 24 ore su 24. Quel giorno la FSC ha di nuovo presentato come misure un'ispezione a tappeto e il rafforzamento della responsabilità degli amministratori delegati (CEO), ma ha detto che portata e calendario dell'ispezione saranno decisi "in consultazione con il settore finanziario". Un anno fa, nel caso Lotte Card, la FSC aveva detto che avrebbe gestito e vigilato sulle "misure di tutela dei consumatori di Lotte Card, come il risarcimento integrale", ma nel documento sulle misure del 14 la parola 'risarcimento' non compare.

Oltre un anno dopo la promessa di un'«ispezione generale dell'intero settore», violate 16 società

Il 18 settembre 2025 la FSC ha tenuto una riunione d'emergenza sulla fuga di dati di Lotte Card, presieduta da Kwon Dae-young, vicepresidente della FSC. Quel giorno la FSC si è posta come obiettivo una "ispezione generale della sicurezza finanziaria e della protezione delle informazioni in tutto il settore finanziario e un miglioramento istituzionale di fondo" e ha affermato che "avvia inoltre immediatamente un'ispezione d'emergenza sull'assetto di gestione della sicurezza del settore finanziario e un miglioramento istituzionale di fondo in materia di sicurezza informatica". Kwon ha chiesto alle società finanziarie di "riesaminare integralmente, sotto la responsabilità del CEO, l'insieme dei sistemi informatici e del sistema di protezione delle informazioni" e ha avvertito: "poiché un atteggiamento compiacente che considera gli investimenti in sicurezza un costo o un compito aggiuntivo può provocare una situazione grave". La FSC ha detto che "introdurrà sanzioni punitive superiori al livello delle sanzioni ordinarie in caso di gravi incidenti di sicurezza".

Un mese dopo, il 22 ottobre 2025, il ministero della Scienza e delle TIC ha presentato insieme ad altri ministeri il «Piano interministeriale complessivo per la protezione delle informazioni». Ha tenuto il briefing il vicepremier e ministro della Scienza e delle TIC Bae Kyung-hoon, ed era presente anche Shin Jin-chang, a capo della segreteria generale della FSC. Il governo ha detto che "avvia immediatamente un'ampia ispezione delle vulnerabilità di sicurezza di circa 1.600 sistemi informatici utilizzati dalla maggior parte della popolazione, come quelli del settore pubblico, finanziario e delle telecomunicazioni". Il piano comprendeva anche "il rafforzamento della responsabilità del CEO e del ruolo del CISO" e "l'introduzione di sanzioni punitive".

Meno di un anno dopo, il 30 settembre 2026, le autorità finanziarie hanno ricevuto la segnalazione dell'incidente di intrusione in Shinhan Bank. Nel documento della FSC del 2 ottobre si leggeva che "si sono verificati ulteriori danni a causa di attacchi informatici contro le principali società finanziarie, come KB Kookmin Bank". Le società colpite rese note dalla FSC il 14 sono 4 banche (Shinhan, Kookmin, Busan e Hana), 4 casse di risparmio (Yegaram, Welcome, DB e OK), 2 società finanziarie specializzate nel credito (Hyundai Capital e KDB Capital), 2 operatori di finanziamento online (PFCT e Mouda), 1 operatore di servizi finanziari elettronici (Brightfixx), 2 fornitori di servizi di asset virtuali (Streami e Prabang) e 1 istituto di finanza mutualistica (Federazione centrale delle casse Saemaeul). Sono 16 società di 7 comparti. La FSC ha affermato che "l'entità della fuga di informazioni è stata stimata in circa 100.000 dati (nome, recapito, numero di registrazione dei residenti, e-mail, ecc.)" e ha detto che le società colpite potrebbero aumentare nel corso delle indagini.

Nelle due settimane successive alla segnalazione dell'incidente di Shinhan Bank, le società colpite riportate nei documenti delle autorità hanno continuato ad aumentare. Nel documento del 2 ottobre comparivano per nome Shinhan Bank e Kookmin Bank, e il documento della riunione del 4, presieduta dal presidente della FSC, indicava senza nomi 7 principali società finanziarie che avevano segnalato intrusioni. Nel documento del 14 sono diventate 16.

130 società finanziarie mancano dell'essenziale, come patch di sicurezza e monitoraggio 24 ore su 24

La prima ispezione avviata dalle autorità finanziarie dopo il caso non è stata un'ispezione in loco del Servizio di vigilanza finanziaria (FSS), ma un'autoverifica delle stesse società. Le autorità hanno distribuito, in occasione della riunione del 2 ottobre, una lista di controllo di 12 voci, e entro l'8 ottobre 555 società hanno presentato i risultati. La FSC ha indicato che "dai risultati della verifica, in totale 425 società li hanno presentati come 'adeguati' e 130 società hanno segnalato di avere carenze". È il 23,4% delle società verificate.

Le carenze erano "mancata applicazione delle patch di sicurezza più recenti", "gestione insufficiente dei sistemi senza supporto tecnico del produttore (EOS: End of Support)", "mancata realizzazione di un sistema di monitoraggio in tempo reale (24 ore su 24)" e "gestione insufficiente della superficie di attacco". Come esempio di gestione insufficiente della superficie di attacco, la FSC ha citato "l'omissione di autenticazione e autorizzazione per i sistemi esterni e la mancata introduzione di procedure di autenticazione rafforzata (MFA) per i servizi importanti". La FSC ha detto che "sono state riscontrate relativamente più carenze nei comparti dei servizi finanziari elettronici e del finanziamento online, la cui capacità di sicurezza è relativamente più debole".

Il problema delle patch di sicurezza era un compito che la stessa FSC aveva indicato cinque mesi prima. Il 22 maggio 2026 la FSC ha tenuto l'«Incontro sulla risposta alle minacce alla sicurezza del settore finanziario legate all'IA ad alte prestazioni» e ha annunciato che avrebbe predisposto a giugno linee guida sulla sicurezza dell'IA. Ha detto che le linee guida avrebbero contenuto "criteri operativi come i criteri di classificazione delle risorse informatiche e ▲le priorità delle patch dei programmi". Le società finanziarie di piccole e medie dimensioni, tra le altre, avevano allora chiesto di "indicare le priorità per poter applicare per prime le patch di sicurezza più urgenti". Cinque mesi dopo, nell'autoverifica, la "mancata applicazione delle patch di sicurezza più recenti" è finita in cima alle principali carenze.

La FSC dice di averlo "chiesto più volte" e indica il mancato rispetto dell'essenziale da parte delle società

Le autorità finanziarie hanno spiegato di essersi mosse subito dopo l'incidente. Secondo la FSC, l'FSS e l'Istituto per la sicurezza finanziaria hanno avviato un'indagine in loco lo stesso giorno in cui hanno ricevuto la segnalazione dell'incidente di Shinhan Bank, il 30 settembre, e stanno ancora indagando sul percorso di intrusione e sul metodo di attacco. Le autorità hanno condiviso gli IP degli aggressori con l'intero settore finanziario e hanno tenuto in successione le riunioni del 2 e del 14 ottobre, presiedute da Shin, a capo della segreteria generale, e la «Riunione di verifica d'emergenza dell'intero settore finanziario» congiunta di FSC e FSS del 4, presieduta da Lee Eog-weon, presidente della FSC. Alla riunione del 14 hanno partecipato anche il ministero della Scienza e delle TIC, il ministero dell'Interno e della Sicurezza, la Commissione per la protezione delle informazioni personali, l'Agenzia nazionale di polizia e l'Agenzia coreana per Internet e la sicurezza (KISA).

Shin ha osservato il 14: "Nonostante abbiamo chiesto più volte ispezioni a tappeto e un rafforzamento della gestione in diverse occasioni, come la fuga di dati di Lotte Card e lo shock Mythos, il fatto che siano stati riscontrati casi in cui le società finanziarie non rispettano bene gli aspetti essenziali è un punto molto doloroso". Shin ha detto: "Poiché nel settore finanziario fiducia e sicurezza contano più di ogni altra cosa, una gestione rigorosa della sicurezza per prevenire gli incidenti è indispensabile". Lee Eog-weon ha detto il 4: "L'intero settore finanziario, prendendo spunto da questo caso, deve riesaminare da zero l'insieme del proprio sistema di sicurezza delle informazioni con una determinazione straordinaria e il massimo livello di allerta, e innalzare di un gradino il livello di sicurezza".

La FSC ha indicato come canale di attacco i sistemi utilizzati da "personale esterno, come intermediari del credito e società appaltatrici, che è stato la causa dei recenti incidenti di intrusione". La FSC ha disposto che "ogni accesso esterno sia in linea di principio bloccato, salvo i casi indispensabili per la fornitura di servizi ai consumatori o lo svolgimento delle attività", e ha affermato che, se nonostante la condivisione delle informazioni sugli attacchi "si verificheranno incidenti di intrusione simili, si interverrà con rigore secondo le leggi pertinenti".

Stando alle parole di Shin, le autorità avevano chiesto ripetutamente ispezioni a tappeto in occasione del caso Lotte Card e dello shock Mythos. Ciononostante, nell'autoverifica di ottobre 2026, 130 società su 555 hanno segnalato di loro iniziativa di non disporre di elementi essenziali come le patch e il monitoraggio. È cambiato anche il metodo di ispezione. Nel settembre 2025 la FSC aveva detto che "avvierà immediatamente l'ispezione dell'FSS sullo stato della sicurezza di tutte le società di carte di credito", ma la prima ispezione dell'intero settore finanziario dopo il caso di ottobre 2026 è stata un'autoverifica in cui le società hanno compilato e consegnato una lista di controllo.

Le misure di un anno fa e quelle del 14 coincidono su 'responsabilità del CEO, ispezione a tappeto e miglioramento istituzionale'

Le misure su quattro assi presentate dalla FSC il 14 coincidono in larga parte con la formulazione di un anno fa. La prima voce è un'ispezione generale della sicurezza. Le società finanziarie devono "censire e aggiornare tutti i punti di contatto in cui i sistemi informatici si collegano con l'esterno", e le autorità hanno detto che guideranno e vigileranno affinché "siano chiariti anche la linea di riporto e l'ambito di responsabilità di CEO, CISO, CIO, ecc.". Ciò che la FSC aveva chiesto nel settembre 2025 era di "riesaminare integralmente" l'insieme del sistema di protezione delle informazioni "sotto la responsabilità del CEO", e il piano interministeriale dell'ottobre dello stesso anno conteneva "il rafforzamento della responsabilità del CEO e del ruolo del CISO".

Anche l'inasprimento delle sanzioni si è ripetuto. Il 14 la FSC ha affermato che "prevede di portare avanti al più presto diverse misure di miglioramento istituzionale per rafforzare la responsabilità del CEO e aumentare l'efficacia delle sanzioni". Nel settembre 2025 aveva promesso "sanzioni punitive" e, nel piano interministeriale di ottobre, "aumento delle sanzioni amministrative e pecuniarie e introduzione di penalità di mora e sanzioni punitive". Dopo un anno lo stesso tema è tornato tra le cose che si 'prevede di portare avanti'. Anche nei nuovi criteri per le sanzioni pecuniarie approvati dalla FSC il 21, il tetto legale di imposizione previsto dalla legge sulle informazioni creditizie resta indicato, in linea di principio, al 3% del fatturato totale.

Il piano interministeriale dell'ottobre 2025 diceva che "avvia immediatamente" l'ispezione delle vulnerabilità di sicurezza di "circa 1.600 sistemi informatici", compresi quelli finanziari. Un anno dopo, il 14 ottobre 2026, la FSC ha di nuovo proposto un'ispezione a tappeto e ha detto che "la portata e il calendario concreti dell'ispezione" saranno "definiti rapidamente" in consultazione con il settore finanziario.

Le nuove misure restano senza scadenza, tra 'al più presto' ed 'esame'

L'unica scadenza con una data nel comunicato del 14 è il termine (8 ottobre) della verifica con lista di controllo, già conclusa. Tutto ciò che resta da fare è senza scadenza.

Nell'area dell'individuazione precoce delle minacce, il sistema informativo sul livello delle minacce legate all'IA "si prevede di predisporlo al più presto", e per l'infrastruttura di verifica delle vulnerabilità basata sull'IA "se ne promuove anche la realizzazione". Nell'area della vigilanza permanente, si porterà avanti un'ipotesi per "estendere a due o più volte l'anno", solo per le grandi società, la verifica e la valutazione delle vulnerabilità delle società finanziarie, oggi annuale (due volte l'anno per i siti web esterni), e la base giuridica per ispezioni non programmate delle autorità "è previsto che venga esaminata e portata avanti". Nel sostegno alle società di piccole e medie dimensioni, l'Istituto per la sicurezza finanziaria, con le associazioni e le federazioni centrali di comparto, "esamina" la realizzazione di un sistema comune di monitoraggio della sicurezza basato sull'IA. Per gli operatori del credito al consumo e le agenzie assicurative societarie (GA), non soggetti alla legge sulle transazioni finanziarie elettroniche, è stato detto che le misure di rafforzamento della sicurezza saranno "esaminate e portate avanti al più presto".

Anche nella prima riunione del 2 ottobre la FSC si era limitata a dire che "si prevede di far presentare e riferire" i risultati dell'autoverifica "nel più breve tempo possibile". La verifica si è conclusa l'8 e, fino al 14, le società colpite accertate sono salite a 16.

A maggio allentamento della separazione delle reti ed esenzione per i guasti da patch, il 21 sanzioni ridotte per le violazioni lievi

Accanto alla risposta agli attacchi hacker, le autorità hanno continuato ad adottare anche misure nella direzione di allentare la regolamentazione. All'incontro del 22 maggio la FSC aveva detto che "porterà avanti rapidamente l'allentamento della regolamentazione sulla separazione delle reti per l'uso dell'IA a fini di sicurezza" e aveva deciso di sospendere temporaneamente la regolamentazione per un anno, su richiesta, per 49 società finanziarie con attività totali pari o superiori a 10.000 miliardi di won e almeno 1.000 dipendenti fissi. Per le società finanziarie con capacità di alto livello aveva detto che "prevede di esaminare e portare avanti anche un'ipotesi di abolizione totale della regolamentazione sulla separazione delle reti". Per i guasti informatici lievi verificatisi durante l'applicazione delle patch di sicurezza aveva detto che "porterà avanti anche l'attenuazione o l'esenzione dalle sanzioni, a condizione di un rapido ripristino e di misure di tutela dei consumatori". Kwon Dae-young, vicepresidente della FSC, aveva detto allora: "Le minacce alla sicurezza dell'IA ad alte prestazioni sono come il virus del raffreddore: non sono qualcosa che si possa bloccare completamente, ma una minaccia con cui bisogna convivere e che va gestita". Shin ha detto anche il 14: "Porteremo avanti in modo più accurato e più rapido i miglioramenti istituzionali, come l'allentamento della regolamentazione sulla separazione delle reti".

La modifica del «Regolamento di vigilanza sull'attività di informazione creditizia», approvata il 21 nella 18ª riunione ordinaria, entra in vigore il 23. Le aliquote di riferimento, che erano su tre livelli (50%, 75% e 100%), sono diventate fasce continue: dall'1% al 30% per le violazioni lievi, dal 30% al 65% per le violazioni gravi e dal 65% al 100% per le violazioni molto gravi. L'esempio indicato dalla FSC è quello di una società finanziaria ipotetica con un fatturato di 7.000 miliardi di won e un utile netto di 700 miliardi di won. La sanzione di base per una 'violazione di gravità lieve', con un punteggio di gravità di 1,2 punti, passa da 105 miliardi di won (aliquota di riferimento del 50%) a 21 miliardi di won (aliquota di riferimento del 10%), un quinto. Nel caso con un punteggio di gravità di 2,5 punti, con il nuovo criterio si calcolano 157,5 miliardi di won con un'aliquota di riferimento del 75% e poi si aggiungono 52,5 miliardi di won di aggravante del 25%, arrivando a 210 miliardi di won, come in precedenza.

La FSC ha spiegato di aver consentito un aggravamento fino al 100% della sanzione di base in caso di reiterazione della stessa violazione entro 3 anni o di fughe di dati su larga scala che colpiscono 10 milioni di persone o più. Il rafforzamento volontario della protezione delle informazioni creditizie personali e la rapida attuazione di misure di tutela dei consumatori sono stati ampliati come circostanze attenuanti. Questa fuga di dati di 16 società e circa 100.000 dati resta molto al di sotto della soglia di aggravamento di 10 milioni di persone. Le disposizioni transitorie seguono l'articolo 14 della legge fondamentale sull'amministrazione: alle violazioni precedenti alla modifica si applica il regolamento vigente al momento della violazione, ma si può applicare il regolamento modificato se più favorevole. La FSC ha spiegato di aver aumentato la prevedibilità rendendo pubblici in modo trasparente i criteri delle sanzioni.

La formula sul risarcimento arretra da 'vigilare sul risarcimento integrale' a 'occorre fare il massimo'

Nel caso Lotte Card del settembre 2025, il documento della FSC riportava come misura di Lotte Card il "risarcimento anticipato integrale in caso di uso fraudolento derivante dall'incidente di intrusione", e la FSC aveva detto che avrebbe "gestito e vigilato attentamente" sulle "misure di tutela dei consumatori di Lotte Card, come il risarcimento integrale in caso di danni correlati". Il piano interministeriale dell'ottobre dello stesso anno affermava che, "se un attacco hacker si verifica per negligenza nella sicurezza di un'impresa, si alleggerirà l'onere della prova a carico del consumatore" e che "si valuta l'istituzione di un fondo" che destini gli introiti delle sanzioni al sostegno delle vittime.

In questo caso la formula sul risarcimento si è indebolita di un gradino. Il documento della riunione del 4 ottobre indicava, riguardo alle società finanziarie colpite da incidenti di intrusione, che "se vengono accertati danni ai consumatori, occorre fare il massimo per comunicare ai consumatori informazioni dettagliate e affinché la riparazione dei danni e il risarcimento, tra l'altro, avvengano rapidamente e senza intoppi". Nel documento sulle misure del 14, che ha reso noti danni a 16 società e circa 100.000 dati, le parole 'risarcimento' e 'riparazione dei danni' non compaiono nemmeno una volta.

Le autorità hanno puntato soprattutto a bloccare i danni secondari. Il 6 hanno emesso l'allerta per i consumatori n. 2026-26 di livello 'attenzione' e hanno fissato un mese a partire dal 6 come 'periodo speciale di risposta ai danni secondari della fuga di dati personali'. Hanno disposto che le società finanziarie attivino sportelli di assistenza dedicati e rafforzino i sistemi di rilevamento delle transazioni anomale (FDS). Le autorità hanno affermato: "Finora non è stato accertato alcun caso in cui fondi dei clienti siano usciti a causa di danni come il voice phishing in relazione a questo incidente di fuga di dati personali delle società finanziarie". Secondo la spiegazione delle autorità, le informazioni sottratte comprendono i numeri di registrazione dei residenti, ma password e password monouso (OTP) non sono uscite.

Gli strumenti di prevenzione indicati dalle autorità sono per lo più servizi che il consumatore deve richiedere personalmente. Il blocco di sicurezza su operazioni di credito, apertura di conti a distanza e open banking contava circa 7 milioni di iscritti (iscrizione multipla possibile) a fine agosto, e anche il sistema di prevenzione degli incidenti per chi ha dati personali esposti di FINE (fine.fss.or.kr), dell'FSS, richiede la registrazione da parte dell'interessato. Le autorità hanno detto che ASAP, la piattaforma del settore finanziario per la condivisione di informazioni su sospette frodi, dal lancio nell'ottobre 2025 fino ad agosto 2026 ha sospeso i pagamenti di 7.666 conti sospetti, evitando danni per circa 69,94 miliardi di won.

Fonti (KST)

• Commissione per i servizi finanziari · 2026-10-14 · 금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다. 금융위 사무처장 주재, 「제2차 긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87927
• Commissione per i servizi finanziari · 2026-10-06 · 全금융권이 비상한 경각심을 갖고 침해위협에 대응해 나가겠습니다. - 금융위원장 주재 금융위·금감원 합동 「全금융권 긴급 점검회의」 개최 · https://www.fsc.go.kr/no010101/87876
• Commissione per i servizi finanziari · 2026-10-06 · 최근 금융권 개인정보 유출사고에 따른 보이스피싱·스미싱 등 피해에 주의하세요. · https://www.fsc.go.kr/no010101/87882
• Commissione per i servizi finanziari · 2026-10-02 · 최근 발생하는 금융권 침해위협에 면밀히 대응해 나가겠습니다. - 금융위원회 사무처장 주재 「긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87869
• Commissione per i servizi finanziari · 2026-10-21 · 신용정보법 과징금 부과의 예측 가능성을 한층 높였습니다. - ｢신용정보업감독규정｣ 개정안 제18차 정례 금융위원회 의결 · https://www.fsc.go.kr/no010101/87973
• Commissione per i servizi finanziari · 2026-05-26 · 금융권 AI 전환 본격화! 금융분야 망분리 규제를 완화하여 혁신은 넓게, 보안은 더 단단하게 하겠습니다. - ｢고성능 AI 관련 금융권 보안위협 대응 간담회｣ 실시 · https://www.fsc.go.kr/no010101/86972
• Korea Policy Briefing (ministero della Scienza e delle TIC e altri ministeri) · 2025-10-22 · 범부처 정보보호 대책 발표…해킹 정황 시 기업 신고 없어도 조사 · https://www.korea.kr/news/policyNewsView.do?newsId=148952831
• Commissione per i servizi finanziari · 2025-09-18 · 롯데카드 정보유출 관련 긴급 대책회의 개최 · https://www.fsc.go.kr/no010101/85319