Ruim een jaar na belofte van 'volledige controle van de hele financiële sector' 16 financiële bedrijven gehackt, 100.000 gegevens gelekt – toezichthouders herhalen dezelfde woorden

SEOUL

Ruim een jaar nadat de Zuid-Koreaanse financiële toezichthouders na het datalek bij Lotte Card een 'volledige controle van financiële beveiliging en informatiebescherming in de hele financiële sector' aankondigden, zijn zestien financiële bedrijven, waaronder vier banken, gehackt en zijn circa 100.000 persoonsgegevens buitgemaakt. De Financial Services Commission (FSC) hield op de 14e om 15.00 uur in het regeringscomplex in Seoul onder voorzitterschap van secretaris-generaal Shin Jin-chang het 「tweede spoedoverleg over de situatie」, maakte de omvang van de schade bekend en meldde dat bij een zelfcontrole van alle 555 bedrijven in de financiële sector 130 bedrijven tekortkomingen hadden gemeld, zoals het niet toepassen van de nieuwste beveiligingspatches en het ontbreken van 24-uursmonitoring. De FSC presenteerde die dag opnieuw een volledige controle en een grotere verantwoordelijkheid van de topbestuurders (CEO) als maatregelen, maar zei dat de reikwijdte en het tijdpad van de controle 'in overleg met de financiële sector' zouden worden vastgesteld. Bij het Lotte Card-incident een jaar eerder zei de FSC toe te zullen zien op 'de consumentenbeschermingsmaatregelen van Lotte Card, zoals volledige compensatie', maar in de stukken over de maatregelen van de 14e komt het woord 'compensatie' niet voor.

Ruim een jaar na belofte van 'volledige controle van de hele financiële sector' zestien bedrijven gehackt

De FSC hield op 18 september 2025 onder voorzitterschap van vicevoorzitter Kwon Dae-young een spoedoverleg over het datalek bij Lotte Card. De FSC stelde die dag als opdracht 'een volledige controle van financiële beveiliging en informatiebescherming in de hele financiële sector en fundamentele institutionele verbeteringen' en verklaarde: 'Een spoedcontrole van de beveiligingsparaatheid in de financiële sector en fundamentele institutionele verbeteringen op het gebied van IT-beveiliging worden ook onmiddellijk in gang gezet.' Kwon vroeg de financiële bedrijven 'onder verantwoordelijkheid van de CEO de IT-systemen en het hele informatiebeschermingsstelsel volledig opnieuw te controleren' en waarschuwde 'omdat een lakse houding die beveiligingsinvesteringen als kostenpost of extra werk ziet tot ernstige situaties kan leiden'. De FSC zei 'bij ernstige beveiligingsincidenten punitieve boetes in te voeren die het gangbare boeteniveau te boven gaan'.

Een maand later, op 22 oktober 2025, presenteerde het ministerie van Wetenschap en ICT samen met andere ministeries een 「ministeriebreed integraal plan voor informatiebescherming」. Vicepremier en minister van Wetenschap en ICT Bae Kyung-hoon gaf de briefing, en ook FSC-secretaris-generaal Shin Jin-chang verscheen. De regering zei 'onmiddellijk een grootschalige controle op beveiligingskwetsbaarheden in te zetten voor zo'n 1.600 IT-systemen die door de meerderheid van de burgers worden gebruikt, zoals in de publieke sector, de financiële sector en de telecommunicatie'. Ook 'versterking van de verantwoordelijkheid van de CEO en de rol van de CISO' en 'invoering van punitieve boetes' maakten deel uit van het plan.

Nog geen jaar later, op 30 september 2026, ontvingen de financiële toezichthouders een melding van een inbraakincident bij Shinhan Bank. In de FSC-stukken van 2 oktober stond dat 'door cyberaanvallen op grote financiële bedrijven zoals Kookmin Bank extra schade is ontstaan'. De door de FSC op de 14e bekendgemaakte getroffen bedrijven zijn vier banken (Shinhan, Kookmin, Busan, Hana), vier spaarbanken (Yegaram, Welcome, DB, OK), twee gespecialiseerde kredietinstellingen (Hyundai Capital, KDB Capital), twee online investerings- en leenplatforms (PFCT, Mouda), één elektronische financiële dienstverlener (Brightfix), twee aanbieders van cryptodiensten (Streami, Prabang) en één coöperatieve financiële instelling (het centrale verbond van de Saemaul Geumgo-kredietcoöperaties). Dat zijn zestien bedrijven in zeven sectoren. De FSC zei: 'De omvang van het datalek wordt vastgesteld op circa 100.000 gegevens (naam, contactgegevens, inwonersregistratienummer, e-mail enzovoort)', en voegde eraan toe dat het aantal getroffen bedrijven tijdens het onderzoek nog kan oplopen.

In de twee weken na de melding van het incident bij Shinhan Bank bleef het aantal getroffen bedrijven in de stukken van de toezichthouders oplopen. In de stukken van 2 oktober werden Shinhan Bank en Kookmin Bank bij naam genoemd; de stukken van het overleg onder voorzitterschap van de FSC-voorzitter op de 4e noemden zonder namen zeven grote financiële bedrijven die een inbraak hadden gemeld. In de stukken van de 14e waren het er zestien.

Bij 130 financiële bedrijven ontbreken al basiszaken als beveiligingspatches en 24-uursmonitoring

De eerste controle die de financiële toezichthouders na deze zaak instelden, was geen inspectie ter plaatse door de Financial Supervisory Service (FSS), maar een zelfcontrole door de financiële bedrijven. De toezichthouders verspreidden naar aanleiding van het overleg van 2 oktober een checklist met twaalf punten, en tot 8 oktober leverden 555 bedrijven hun resultaten in. De FSC zei: 'In totaal meldden 425 bedrijven "in orde" en meldden 130 bedrijven dat er tekortkomingen waren.' Dat is 23,4 procent van de gecontroleerde bedrijven.

De tekortkomingen waren 'het niet toepassen van de nieuwste beveiligingspatches', 'ontoereikend beheer van systemen waarvoor de technische ondersteuning van de fabrikant is beëindigd (EOS: End of Support)', 'het ontbreken van een realtime (24-uurs) monitoringsysteem' en 'ontoereikend beheer van het aanvalsoppervlak'. Als voorbeelden van ontoereikend beheer van het aanvalsoppervlak noemde de FSC 'ontbrekende authenticatie en autorisatie bij extern gerichte systemen en het niet invoeren van versterkte authenticatieprocedures (MFA) voor belangrijke diensten'. De FSC zei: 'In de sectoren elektronische financiële dienstverleners en online investerings- en leenplatforms, met relatief zwakke beveiligingscapaciteit, zijn verhoudingsgewijs veel tekortkomingen gevonden.'

Het probleem van de beveiligingspatches had de FSC vijf maanden eerder zelf aangekaart. De FSC hield op 22 mei 2026 een 「overleg over de aanpak van beveiligingsdreigingen voor de financiële sector door krachtige AI」 en kondigde aan in juni richtlijnen voor AI-beveiliging op te stellen. In de richtlijnen zouden 'praktische normen zoals classificatiecriteria voor IT-middelen en ▲prioriteiten voor programmapatches' worden opgenomen. Kleine en middelgrote financiële bedrijven en anderen hadden toen gevraagd 'de prioriteiten door te geven zodat de meest urgente beveiligingspatches als eerste kunnen worden toegepast'. Vijf maanden later stond 'het niet toepassen van de nieuwste beveiligingspatches' bovenaan de belangrijkste tekortkomingen in de zelfcontrole.

FSC zegt 'herhaaldelijk opdracht te hebben gegeven' en wijst op niet-naleving van basisregels door financiële bedrijven

De financiële toezichthouders zeggen direct na het incident in actie te zijn gekomen. Volgens de FSC begonnen de FSS en het Financial Security Institute op 30 september, de dag waarop het incident bij Shinhan Bank werd gemeld, met onderzoek ter plaatse, en onderzoeken zij nog steeds de inbraakroutes en aanvalsmethoden. De toezichthouders deelden de IP-adressen van de aanvallers met de hele financiële sector en hielden achtereenvolgens op 2 en 14 oktober overleg onder voorzitterschap van de secretaris-generaal en op de 4e het gezamenlijke 「spoedcontroleoverleg voor de hele financiële sector」 van FSC en FSS onder voorzitterschap van FSC-voorzitter Lee Eog-weon. Aan het overleg van de 14e namen ook het ministerie van Wetenschap en ICT, het ministerie van Binnenlandse Zaken en Veiligheid, de Commissie voor de Bescherming van Persoonsgegevens, het Nationaal Politiebureau en de Korea Internet & Security Agency (KISA) deel.

Secretaris-generaal Shin Jin-chang zei op de 14e: 'Hoewel we bij diverse gelegenheden, zoals het datalek bij Lotte Card en de Mythos-schok, herhaaldelijk opdracht hebben gegeven tot volledige controles en strenger beheer, zijn er gevallen gevonden waarin financiële bedrijven basiszaken niet goed naleven. Dat is zeer pijnlijk.' Shin zei: 'Omdat in de financiële sector vertrouwen en veiligheid belangrijker zijn dan wat dan ook, is grondig beveiligingsbeheer om beveiligingsincidenten te voorkomen onmisbaar.' Voorzitter Lee Eog-weon zei op de 4e: 'De hele financiële sector moet deze zaak aangrijpen om met uitzonderlijke vastberadenheid en de hoogste waakzaamheid het hele informatiebeveiligingsstelsel vanaf de basis opnieuw te controleren en het beveiligingsniveau een stap omhoog te brengen.'

Als aanvalsroute wees de FSC systemen aan die worden gebruikt door 'extern personeel zoals kredietbemiddelaars en uitbestede partijen, dat de oorzaak was van de recente inbraakincidenten'. De FSC droeg op 'externe toegang in beginsel volledig te blokkeren, behalve waar die onmisbaar is voor dienstverlening aan consumenten of de uitvoering van taken', en zei dat 'als er ondanks het delen van aanvalsinformatie soortgelijke inbraakincidenten plaatsvinden, wij volgens de toepasselijke wetgeving streng zullen optreden'.

Afgaande op de woorden van secretaris-generaal Shin hebben de toezichthouders bij het Lotte Card-incident en de Mythos-schok herhaaldelijk opdracht gegeven tot volledige controles. Toch meldden bij de zelfcontrole in oktober 2026 130 van de 555 bedrijven zelf dat zij basisonderdelen als patches en monitoring niet op orde hadden. Ook de controlemethode is veranderd. In september 2025 zei de FSC 'onmiddellijk een controle door de FSS te beginnen naar de beveiligingssituatie bij alle creditcardmaatschappijen', maar de eerste controle van de hele financiële sector na de zaak van oktober 2026 was een zelfcontrole waarbij financiële bedrijven een checklist invulden en inleverden.

Maatregelen van een jaar geleden en van de 14e overlappen op 'verantwoordelijkheid CEO, volledige controle, institutionele verbetering'

De vier sporen van maatregelen die de FSC op de 14e presenteerde, overlappen sterk met de bewoordingen van een jaar eerder. Het eerste onderdeel is een volledige beveiligingscontrole. Financiële bedrijven moeten 'alle contactpunten waar IT-systemen met de buitenwereld verbonden zijn inventariseren en actualiseren', en de toezichthouders zeggen erop toe te zien en te begeleiden dat 'ook de rapportagelijnen en verantwoordelijkheden van CEO, CISO, CIO en anderen duidelijk worden vastgelegd'. In september 2025 eiste de FSC dat het hele informatiebeschermingsstelsel 'onder verantwoordelijkheid van de CEO' 'volledig opnieuw werd gecontroleerd', en in het ministeriebrede plan van oktober dat jaar stond 'versterking van de verantwoordelijkheid van de CEO en de rol van de CISO'.

Ook strengere sancties werden herhaald. De FSC zei op de 14e van plan te zijn 'ook diverse institutionele verbeteringen om de verantwoordelijkheid van de CEO te vergroten en sancties doeltreffender te maken spoedig door te voeren'. In september 2025 werden 'punitieve boetes' beloofd, in het ministeriebrede plan van oktober 'verhoging van bestuurlijke boetes en sancties, invoering van dwangsommen en punitieve boetes'. Na een jaar dook hetzelfde onderwerp opnieuw op als 'van plan door te voeren'. Ook in de nieuwe boetenormen die de FSC op de 21e goedkeurde, staat het wettelijke maximum op grond van de kredietinformatiewet in beginsel op 3 procent van de totale omzet.

Het ministeriebrede plan van oktober 2025 zei de controle op beveiligingskwetsbaarheden van 'zo'n 1.600 IT-systemen', inclusief de financiële sector, 'onmiddellijk in te zetten'. Een jaar later, op 14 oktober 2026, kwam de FSC opnieuw met een volledige controle en zei 'de concrete reikwijdte en het tijdpad van de controle' in overleg met de financiële sector 'snel vast te stellen'.

Nieuwe maatregelen blijven zonder termijn steken bij 'spoedig' en 'onderzoeken'

De enige datum in het persbericht van de 14e is de deadline (8 oktober) van de al afgeronde checklistcontrole. Voor alle toekomstige stappen geldt geen termijn.

Op het gebied van vroegtijdige detectie van dreigingen is de FSC 'van plan spoedig' een informatiesysteem over het niveau van AI-dreigingen 'op te zetten', en 'wordt ook de opbouw' van een AI-gestuurde infrastructuur voor kwetsbaarheidscontroles 'nagestreefd'. Op het gebied van permanent toezicht wil de FSC de kwetsbaarheidscontrole en -beoordeling van financiële bedrijven, nu eenmaal per jaar (externe websites tweemaal per jaar), alleen voor grote bedrijven 'uitbreiden tot tweemaal per jaar of vaker', en een grondslag voor controles door de toezichthouders op elk moment 'zal worden onderzocht en nagestreefd'. Bij de ondersteuning van kleine en middelgrote bedrijven 'onderzoekt' het Financial Security Institute samen met brancheverenigingen en centrale verbonden de opbouw van een gezamenlijk AI-gestuurd beveiligingsmonitoringsysteem. Voor geldschieters en verzekeringsagentschappen (GA), die niet onder de wet op elektronische financiële transacties vallen, zullen maatregelen ter versterking van de beveiliging 'spoedig worden onderzocht en doorgevoerd'.

Ook bij het eerste overleg op 2 oktober zei de FSC alleen dat de resultaten van de zelfcontrole 'zo spoedig mogelijk zullen moeten worden ingediend en gemeld'. De controle werd op de 8e afgerond, en tot de 14e liep het aantal bevestigde getroffen bedrijven op tot zestien.

In mei versoepeling van netwerkscheiding en vrijstelling voor storingen door patches, op de 21e lagere boetes voor lichte overtredingen

Naast de reactie op de hacks zetten de toezichthouders ook maatregelen voort die richting deregulering gaan. Op het overleg van 22 mei zei de FSC 'de versoepeling van de netwerkscheidingsregels voor het gebruik van AI voor beveiligingsdoeleinden snel door te voeren' en besloot zij de regels voor 49 financiële bedrijven met een balanstotaal van 10 biljoen won of meer en 1.000 of meer vaste werknemers op aanvraag tijdelijk voor een jaar te versoepelen. Voor financiële bedrijven met hoogwaardige capaciteiten is de FSC 'van plan ook het volledig opheffen van de netwerkscheidingsregels te onderzoeken en door te voeren'. Voor lichte IT-storingen die ontstaan bij het toepassen van beveiligingspatches zei de FSC 'op voorwaarde van snel herstel en consumentenbeschermingsmaatregelen ook strafvermindering en vrijstelling na te streven'. Vicevoorzitter Kwon Dae-young zei toen: 'Beveiligingsdreigingen door krachtige AI zijn als een verkoudheidsvirus: het is niet iets wat je volledig kunt blokkeren, maar een dreiging waarmee je moet leven en die je moet beheersen.' Ook op de 14e zei secretaris-generaal Shin: 'Ook institutionele verbeteringen zoals de versoepeling van de netwerkscheidingsregels zullen we zorgvuldiger en sneller doorvoeren.'

De op de 18e reguliere vergadering van de 21e goedgekeurde wijziging van de 「toezichtsregeling voor de kredietinformatiesector」 treedt op de 23e in werking. De basistarieven, die drie stappen kenden van 50, 75 en 100 procent, zijn vervangen door doorlopende bandbreedtes: 1 tot 30 procent voor lichte overtredingen, 30 tot 65 procent voor ernstige overtredingen en 65 tot 100 procent voor zeer ernstige overtredingen. Als voorbeeld noemde de FSC een fictieve financiële instelling met een omzet van 7 biljoen won en een nettowinst van 700 miljard won. De basisboete voor een 'overtreding van geringe ernst' met een ernstscore van 1,2 daalt van 105 miljard won (basistarief 50 procent) naar 21 miljard won (basistarief 10 procent), een vijfde van het oude bedrag. Voor een geval met een ernstscore van 2,5 wordt onder de nieuwe norm met een basistarief van 75 procent 157,5 miljard won berekend en daarna een verhoging van 25 procent, 52,5 miljard won, opgeteld, wat net als voorheen uitkomt op 210 miljard won.

De FSC lichtte toe dat bij herhaling van dezelfde overtreding binnen drie jaar of bij grootschalige lekken met 10 miljoen of meer getroffenen de basisboete met maximaal 100 procent kan worden verhoogd. Het zelf versterken van de bescherming van persoonlijke kredietgegevens en het snel uitvoeren van consumentenbeschermingsmaatregelen zijn als verminderingsgronden verruimd. Het huidige lek van circa 100.000 gegevens bij zestien bedrijven blijft ver onder de verhogingsdrempel van 10 miljoen personen. Het overgangsrecht volgt artikel 14 van de Algemene Wet Bestuursrecht: op overtredingen van vóór de wijziging is de regeling van het moment van de overtreding van toepassing, maar als de gewijzigde regeling gunstiger is, kan die worden toegepast. De FSC zei dat door de boetenormen transparant openbaar te maken de voorspelbaarheid is vergroot.

Formulering over compensatie schuift terug van 'toezicht op volledige compensatie' naar 'noodzaak alles in het werk te stellen'

Bij het Lotte Card-incident in september 2025 stond in de stukken van de FSC 'volledige voorafgaande compensatie bij misbruik als gevolg van het inbraakincident' als maatregel van Lotte Card vermeld, en zei de FSC 'nauwlettend toe te zien en toezicht te houden' op 'de consumentenbeschermingsmaatregelen van Lotte Card, zoals volledige compensatie bij schade'. Het ministeriebrede plan van oktober dat jaar kondigde aan 'de bewijslast voor consumenten te verlichten wanneer hacking plaatsvindt door nalatige beveiliging van een bedrijf' en 'de oprichting van een fonds te onderzoeken' dat boete-inkomsten gebruikt om slachtoffers te steunen.

Bij de huidige zaak is de formulering over compensatie een stap afgezwakt. In de stukken van het overleg van 4 oktober stond over financiële bedrijven met een inbraakincident dat 'het nodig is om, als schade voor consumenten wordt vastgesteld, consumenten uitgebreid te informeren en alles in het werk te stellen opdat schadeherstel en compensatie snel en zonder problemen plaatsvinden'. In de stukken over de maatregelen van de 14e, waarin de schade bij zestien bedrijven en circa 100.000 gegevens werd bekendgemaakt, komen de woorden 'compensatie' en 'schadeherstel' geen enkele keer voor.

De toezichthouders legden de nadruk op het voorkomen van vervolgschade. Op de 6e gaven zij consumentenwaarschuwing 2026-26 uit met het niveau 'voorzichtig' en wezen zij de maand vanaf de 6e aan als 'speciale periode voor de aanpak van vervolgschade door lekken van persoonsgegevens'. Financiële bedrijven kregen de opdracht speciale adviesloketten in te richten en hun systemen voor de detectie van verdachte transacties (FDS) te versterken. De toezichthouders zeiden: 'Tot nu toe is er geen geval vastgesteld waarin klantgeld is weggevloeid door voice phishing of andere schade in verband met de recente lekken van persoonsgegevens bij financiële bedrijven.' De gelekte gegevens bevatten inwonersregistratienummers, maar wachtwoorden en eenmalige wachtwoorden (OTP) zijn niet gelekt, aldus de toezichthouders.

De middelen ter voorkoming van schade waarop de toezichthouders wezen, zijn grotendeels diensten waarvoor consumenten zelf moeten aanmelden. Voor de blokkeerdiensten voor kredietverlening, het op afstand openen van rekeningen en open banking hadden zich eind augustus circa 7 miljoen mensen aangemeld (meervoudige aanmelding mogelijk), en ook voor het preventiesysteem voor personen van wie persoonsgegevens zijn uitgelekt op het FSS-portaal Fine (fine.fss.or.kr) moeten mensen zich zelf registreren. Via ASAP, het platform voor het delen van informatie over vermoedelijke fraude in de financiële sector, zijn na de start in oktober 2025 tot augustus 2026 betalingen van 7.666 verdachte rekeningen stopgezet en is circa 69,94 miljard won aan schade voorkomen, aldus de toezichthouders.

Bronnen (KST)

• Financial Services Commission · 2026-10-14 · 금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다. 금융위 사무처장 주재, 「제2차 긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87927
• Financial Services Commission · 2026-10-06 · 全금융권이 비상한 경각심을 갖고 침해위협에 대응해 나가겠습니다. - 금융위원장 주재 금융위·금감원 합동 「全금융권 긴급 점검회의」 개최 · https://www.fsc.go.kr/no010101/87876
• Financial Services Commission · 2026-10-06 · 최근 금융권 개인정보 유출사고에 따른 보이스피싱·스미싱 등 피해에 주의하세요. · https://www.fsc.go.kr/no010101/87882
• Financial Services Commission · 2026-10-02 · 최근 발생하는 금융권 침해위협에 면밀히 대응해 나가겠습니다. - 금융위원회 사무처장 주재 「긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87869
• Financial Services Commission · 2026-10-21 · 신용정보법 과징금 부과의 예측 가능성을 한층 높였습니다. - ｢신용정보업감독규정｣ 개정안 제18차 정례 금융위원회 의결 · https://www.fsc.go.kr/no010101/87973
• Financial Services Commission · 2026-05-26 · 금융권 AI 전환 본격화! 금융분야 망분리 규제를 완화하여 혁신은 넓게, 보안은 더 단단하게 하겠습니다. - ｢고성능 AI 관련 금융권 보안위협 대응 간담회｣ 실시 · https://www.fsc.go.kr/no010101/86972
• Korea.kr Beleidsbriefing (ministerie van Wetenschap en ICT en andere ministeries) · 2025-10-22 · 범부처 정보보호 대책 발표…해킹 정황 시 기업 신고 없어도 조사 · https://www.korea.kr/news/policyNewsView.do?newsId=148952831
• Financial Services Commission · 2025-09-18 · 롯데카드 정보유출 관련 긴급 대책회의 개최 · https://www.fsc.go.kr/no010101/85319