Rok po „kompleksowej kontroli całego sektora finansowego” włamania do 16 firm finansowych i wyciek 100 tys. rekordów; władze powtarzają te same zapowiedzi

SEUL

Rok po tym, jak władze finansowe po wycieku danych z Lotte Card zapowiedziały „kompleksową kontrolę bezpieczeństwa finansowego i ochrony informacji w całym sektorze finansowym”, hakerzy włamali się do 16 firm finansowych, w tym czterech banków, i wykradli ok. 100 tys. rekordów z danymi osobowymi. Komisja Usług Finansowych (FSC) zorganizowała 14 października o godz. 15:00 w Kompleksie Rządowym w Seulu „drugie nadzwyczajne posiedzenie ds. reagowania na sytuację” pod przewodnictwem sekretarza generalnego FSC (Shin Jin-chang); ujawniła na nim skalę szkód i poinformowała, że w samoocenie przeprowadzonej przez 555 firm z całego sektora finansowego 130 zgłosiło braki, takie jak niezainstalowanie najnowszych poprawek bezpieczeństwa czy brak całodobowego monitoringu. FSC ponownie przedstawiła tego dnia jako środki zaradcze kompleksową kontrolę i zaostrzenie odpowiedzialności prezesów (CEO), ale zakres i harmonogram kontroli mają zostać ustalone „w porozumieniu z sektorem finansowym”. Rok temu, przy incydencie w Lotte Card, FSC zapowiedziała, że będzie zarządzać i nadzorować „działania Lotte Card na rzecz ochrony konsumentów, w tym pełne odszkodowania”, tymczasem w dokumentach z planem działań z 14 października słowo „odszkodowanie” nie pada.

Rok po obietnicy „kompleksowej kontroli całego sektora finansowego” włamania do 16 firm

18 września 2025 r. FSC zorganizowała pod przewodnictwem wiceprzewodniczącego Kwon Dae-younga nadzwyczajne posiedzenie w sprawie wycieku danych z Lotte Card. FSC wyznaczyła wówczas jako zadanie „kompleksową kontrolę bezpieczeństwa finansowego i ochrony informacji w całym sektorze finansowym oraz fundamentalną reformę systemową” i zapowiedziała, że „natychmiast rozpoczyna też pilną kontrolę gotowości sektora finansowego w zakresie zarządzania bezpieczeństwem oraz fundamentalną reformę systemową dotyczącą bezpieczeństwa informatycznego”. Wiceprzewodniczący Kwon zażądał od instytucji finansowych, by „pod odpowiedzialnością CEO ponownie gruntownie skontrolowały całość systemów informatycznych i systemów ochrony informacji”, i ostrzegł, „ponieważ beztroskie podejście, w którym inwestycje w bezpieczeństwo traktuje się jako koszt lub dodatkowe obciążenie, może doprowadzić do poważnej sytuacji”. FSC zapowiedziała, że „w razie poważnego incydentu bezpieczeństwa wprowadzi karne kary pieniężne przekraczające poziom zwykłych kar”.

Miesiąc później, 22 października 2025 r., Ministerstwo Nauki i ICT wraz z resortami współpracującymi przedstawiło „międzyresortowy kompleksowy plan ochrony informacji”. Wicepremier i minister nauki i ICT Bae Kyung-hoon przedstawił go na briefingu z udziałem sekretarza generalnego FSC (Shin Jin-chang). Rząd zapowiedział, że „natychmiast przeprowadzi zakrojoną na szeroką skalę kontrolę podatności na zagrożenia ok. 1600 systemów informatycznych, z których korzysta zdecydowana większość obywateli, w sektorze publicznym, finansowym, telekomunikacyjnym itd.”. W planie znalazły się też „wzmocnienie odpowiedzialności CEO i roli CISO” oraz „wprowadzenie karnych kar pieniężnych”.

Niespełna rok później, 30 września 2026 r., władze finansowe przyjęły zgłoszenie naruszenia bezpieczeństwa w Shinhan Bank. W dokumentach FSC z 2 października napisano, że „cyberataki na główne instytucje finansowe, w tym Kookmin Bank, spowodowały dodatkowe szkody”. Poszkodowane firmy ujawnione przez FSC 14 października to cztery banki (Shinhan, Kookmin, Busan i Hana), cztery banki oszczędnościowe (Yegaram, Welcome, DB i OK), dwie wyspecjalizowane firmy kredytowe (Hyundai Capital i KDB Capital), dwie platformy finansowania internetowego (PFCT i Mouda), jeden operator finansów elektronicznych (Brightfix), dwóch dostawców usług w zakresie aktywów wirtualnych (Streami i Prabang) i jedna instytucja kredytu wzajemnego (Centralny Związek Kas Saemaul Geumgo). To 16 firm z siedmiu sektorów. FSC podała, że „skalę wycieku informacji oszacowano na ok. 100 tys. rekordów (imiona i nazwiska, dane kontaktowe, numery rejestracyjne rezydentów, adresy e-mail itd.)”, a liczba poszkodowanych firm może wzrosnąć w toku dochodzenia.

W ciągu dwóch tygodni od zgłoszenia incydentu w Shinhan Bank lista poszkodowanych firm w dokumentach władz stale się wydłużała. W dokumentach z 2 października z nazwy wymieniono Shinhan Bank i Kookmin Bank, a dokumenty z posiedzenia 4 października pod przewodnictwem przewodniczącego FSC wskazywały, bez podawania nazw, siedem głównych instytucji finansowych, które zgłosiły włamania. W dokumentach z 14 października było ich już 16.

130 firm finansowych bez podstaw, takich jak poprawki bezpieczeństwa i całodobowy monitoring

Pierwszą kontrolą, jaką władze finansowe podjęły po tej sprawie, nie była inspekcja na miejscu Służby Nadzoru Finansowego (FSS), lecz samoocena instytucji finansowych. Przy okazji posiedzenia 2 października władze rozesłały listę kontrolną z 12 punktami, a do 8 października wyniki przekazało 555 firm. FSC poinformowała, że „w wyniku kontroli łącznie 425 firm zgłosiło stan »właściwy«, a 130 zgłosiło istnienie braków”. To 23,4 proc. skontrolowanych.

Braki dotyczyły „niezainstalowania najnowszych poprawek bezpieczeństwa”, „niewłaściwego zarządzania systemami, dla których producent zakończył wsparcie techniczne (EOS: End of Support)”, „braku systemu monitoringu w czasie rzeczywistym (całodobowego)” i „niewłaściwego zarządzania powierzchnią ataku”. Jako przykłady niewłaściwego zarządzania powierzchnią ataku FSC podała „brak uwierzytelniania i autoryzacji w systemach dostępnych z zewnątrz oraz niewprowadzenie wzmocnionych procedur uwierzytelniania (MFA) dla ważnych usług”. FSC stwierdziła, że „stosunkowo dużo braków wykryto w sektorach finansów elektronicznych i finansowania internetowego, których możliwości w zakresie bezpieczeństwa są relatywnie słabe”.

Problem poprawek bezpieczeństwa FSC sama wskazała pięć miesięcy wcześniej. 22 maja 2026 r. zorganizowała „spotkanie w sprawie reagowania na zagrożenia bezpieczeństwa sektora finansowego związane z wysokowydajną AI” i zapowiedziała opracowanie w czerwcu wytycznych dotyczących bezpieczeństwa AI. Wytyczne miały zawierać „praktyczne kryteria, takie jak kryteria klasyfikacji zasobów informatycznych oraz ▲kolejność priorytetów instalowania poprawek oprogramowania”. Małe i średnie instytucje finansowe postulowały wówczas, by „wskazać im kolejność priorytetów, tak aby mogły najpierw instalować pilne poprawki bezpieczeństwa”. Pięć miesięcy później w samoocenie „niezainstalowanie najnowszych poprawek bezpieczeństwa” znalazło się na czele głównych braków.

FSC wytyka firmom finansowym nieprzestrzeganie podstaw, mówiąc, że „wielokrotnie tego żądała”

Władze finansowe tłumaczyły, że zareagowały zaraz po incydencie. Według FSC Służba Nadzoru Finansowego i Instytut Bezpieczeństwa Finansowego wszczęły dochodzenie na miejscu 30 września, w dniu przyjęcia zgłoszenia incydentu w Shinhan Bank, i nadal badają drogi włamania i metody ataku. Władze przekazały adresy IP napastników całemu sektorowi finansowemu i zorganizowały kolejno posiedzenia pod przewodnictwem sekretarza generalnego 2 i 14 października, a 4 października wspólne „nadzwyczajne posiedzenie kontrolne całego sektora finansowego” FSC i FSS pod przewodnictwem przewodniczącego FSC Lee Eok-wona. W posiedzeniu 14 października uczestniczyły także Ministerstwo Nauki i ICT, Ministerstwo Spraw Wewnętrznych i Bezpieczeństwa, Komisja Ochrony Danych Osobowych, Krajowa Agencja Policji i Koreańska Agencja Internetu i Bezpieczeństwa (KISA).

14 października w wystąpieniu sekretarza generalnego Shin Jin-chang podkreślono, że „choć przy różnych okazjach, takich jak wyciek danych z Lotte Card czy szok Mythos, wielokrotnie żądaliśmy kompleksowych kontroli i zaostrzenia zarządzania, to bardzo bolesne, że wykryto przypadki, w których instytucje finansowe nie przestrzegają należycie podstawowych zasad”. Padło też stwierdzenie, że „ponieważ w sektorze finansowym zaufanie i bezpieczeństwo są ważniejsze niż cokolwiek innego, rygorystyczne zarządzanie bezpieczeństwem jest niezbędne, by zapobiegać incydentom”. Przewodniczący Lee Eok-won mówił 4 października, że „cały sektor finansowy musi przy tej okazji wykazać się nadzwyczajną determinacją i najwyższą czujnością, od podstaw ponownie skontrolować cały system bezpieczeństwa informacji i podnieść poziom bezpieczeństwa o jeden stopień”.

FSC wskazała jako drogę ataku systemy używane przez „personel zewnętrzny, taki jak pośrednicy kredytowi i podwykonawcy, który był przyczyną niedawnych naruszeń bezpieczeństwa”. FSC poleciła, by „co do zasady blokować wszelki dostęp z zewnątrz, z wyjątkiem przypadków, gdy jest on niezbędny do świadczenia usług konsumentom lub wykonywania zadań”, i zapowiedziała, że mimo udostępnienia informacji o atakach „w przypadku wystąpienia podobnych naruszeń bezpieczeństwa zamierza stanowczo reagować zgodnie z właściwymi przepisami”.

Zgodnie ze słowami sekretarza generalnego Shin Jin-chang, władze wielokrotnie żądały kompleksowych kontroli przy incydencie w Lotte Card i szoku Mythos. Mimo to w samoocenie z października 2026 r. 130 z 555 firm samo zgłosiło, że nie spełnia podstawowych wymogów, takich jak poprawki i monitoring. Zmieniła się też metoda kontroli. We wrześniu 2025 r. FSC zapowiedziała, że „natychmiast rozpoczyna kontrolę FSS stanu bezpieczeństwa wszystkich firm kartowych”, a pierwszą kontrolą całego sektora finansowego po sprawie z października 2026 r. była samoocena, w której instytucje finansowe wypełniają i przekazują listę kontrolną.

Plan sprzed roku i plan z 14 października pokrywają się: „odpowiedzialność CEO, kompleksowa kontrola, reforma systemowa”

Cztery kierunki działań przedstawione przez FSC 14 października w dużej mierze pokrywają się ze sformułowaniami sprzed roku. Pierwszy to kompleksowa kontrola bezpieczeństwa. Instytucje finansowe mają „sporządzić i aktualizować wykaz wszystkich punktów styku systemów informatycznych ze światem zewnętrznym”, a władze zapowiedziały, że będą kierować nimi i je nadzorować, „by doprecyzowały także ścieżki raportowania i zakres odpowiedzialności CEO, CISO, CIO itd.”. We wrześniu 2025 r. FSC żądała „gruntownej ponownej kontroli” całego systemu ochrony informacji „pod odpowiedzialnością CEO”, a w międzyresortowym planie z października tego samego roku znalazło się „wzmocnienie odpowiedzialności CEO i roli CISO”.

Powtórzono też zaostrzenie sankcji. FSC oświadczyła 14 października, że „planuje także szybko przeprowadzić różne reformy systemowe, m.in. w celu wzmocnienia odpowiedzialności CEO i zwiększenia skuteczności sankcji”. We wrześniu 2025 r. obiecywała „karne kary pieniężne”, a w międzyresortowym planie z października „podwyższenie grzywien administracyjnych i kar pieniężnych, wprowadzenie grzywien przymuszających i karnych kar pieniężnych”. Po roku ta sama kwestia wraca jako „plan do realizacji”. Także w nowych zasadach nakładania kar pieniężnych przyjętych przez FSC 21 października ustawowy limit z ustawy o informacji kredytowej wynosi co do zasady 3 proc. całkowitych przychodów.

Międzyresortowy plan z października 2025 r. zapowiadał, że kontrola podatności „ok. 1600 systemów informatycznych”, w tym finansowych, zostanie „natychmiast przeprowadzona”. Rok później, 14 października 2026 r., FSC ponownie zaproponowała kompleksową kontrolę, zaznaczając, że „konkretny zakres i harmonogram kontroli” zostanie „szybko ustalony” w porozumieniu z sektorem finansowym.

Nowe działania bez terminów, na etapie „szybko” i „analizy”

Jedyną konkretną datą w komunikacie z 14 października jest termin (8 października) już zakończonej kontroli na podstawie listy kontrolnej. Żadne z przyszłych zadań nie ma terminu.

W zakresie wczesnego wykrywania zagrożeń FSC zapowiedziała, że system informacji o poziomie zagrożeń związanych z AI „planuje szybko stworzyć”, a infrastrukturę kontroli podatności opartą na AI „będzie także budować”. W zakresie stałego nadzoru zapowiedziała, że będzie dążyć do „zwiększenia do co najmniej dwóch razy w roku”, wyłącznie w dużych firmach, częstotliwości kontroli i oceny podatności, przeprowadzanych obecnie raz w roku (zewnętrzne strony internetowe – dwa razy w roku), a podstawę prawną umożliwiającą władzom przeprowadzanie kontroli doraźnych „zamierza przeanalizować i wprowadzić”. W zakresie wsparcia mniejszych firm Instytut Bezpieczeństwa Finansowego wraz ze stowarzyszeniami i związkami branżowymi „przeanalizuje” stworzenie wspólnego systemu monitoringu bezpieczeństwa opartego na AI. W odniesieniu do firm pożyczkowych i agencji ubezpieczeniowych (GA), które nie podlegają ustawie o elektronicznych transakcjach finansowych, FSC zapowiedziała, że „szybko przeanalizuje i wprowadzi” środki wzmacniające bezpieczeństwo.

Także na pierwszym posiedzeniu 2 października FSC poprzestała na stwierdzeniu, że „zamierza zobowiązać” instytucje do przekazania i zgłoszenia wyników samooceny „w możliwie najkrótszym terminie”. Kontrola zakończyła się 8 października, a do 14 października liczba potwierdzonych poszkodowanych firm wzrosła do 16.

W maju złagodzenie separacji sieci i zwolnienie z odpowiedzialności za awarie po poprawkach, 21 października niższe kary za lekkie naruszenia

Równolegle z reakcją na włamania władze podejmowały też działania zmierzające do łagodzenia regulacji. Na spotkaniu 22 maja FSC oświadczyła, że „szybko wprowadza złagodzenie regulacji dotyczących separacji sieci w odniesieniu do wykorzystania AI do celów bezpieczeństwa”, i postanowiła na wniosek tymczasowo, na rok, znieść te regulacje dla 49 instytucji finansowych o aktywach ogółem co najmniej 10 bln wonów i zatrudniających stale co najmniej 1000 pracowników. W odniesieniu do instytucji finansowych o zaawansowanych możliwościach zapowiedziała, że „planuje także przeanalizować i wprowadzić całkowite zniesienie regulacji dotyczących separacji sieci”. W przypadku drobnych awarii informatycznych powstałych przy instalowaniu poprawek bezpieczeństwa zapowiedziała, że „będzie też dążyć do złagodzenia sankcji lub zwolnienia z nich, pod warunkiem szybkiego przywrócenia działania i podjęcia środków ochrony konsumentów”. Wiceprzewodniczący Kwon Dae-young powiedział wtedy, że „zagrożenia bezpieczeństwa związane z wysokowydajną AI są jak wirus przeziębienia – nie da się ich całkowicie zablokować, to zagrożenie, z którym trzeba żyć i którym trzeba zarządzać”. Także 14 października w wystąpieniu sekretarza generalnego Shin Jin-chang padła zapowiedź: „Będziemy dokładniej i szybciej przeprowadzać reformy systemowe, w tym złagodzenie regulacji dotyczących separacji sieci”.

Nowelizacja „Regulaminu nadzoru nad działalnością w zakresie informacji kredytowej”, przyjęta 21 października na 18. posiedzeniu zwyczajnym, wchodzi w życie 23 października. Trzy progi stawki bazowej (50, 75 i 100 proc.) zastąpiono ciągłymi przedziałami: 1–30 proc. dla lekkich naruszeń, 30–65 proc. dla poważnych naruszeń i 65–100 proc. dla bardzo poważnych naruszeń. Przykładem podanym przez FSC jest hipotetyczna instytucja finansowa z przychodami 7 bln wonów i zyskiem netto 700 mld wonów. Przy „naruszeniu o niskiej wadze” z oceną wagi 1,2 pkt bazowa kara pieniężna spada z 105 mld wonów (stawka bazowa 50 proc.) do 21 mld wonów (stawka bazowa 10 proc.), czyli do jednej piątej. W przypadku z oceną wagi 2,5 pkt według nowych zasad oblicza się 157,5 mld wonów przy stawce bazowej 75 proc., a następnie dolicza 25-procentowe podwyższenie w wysokości 52,5 mld wonów, co daje 210 mld wonów, tyle samo co dotychczas.

FSC wyjaśniła, że w razie powtórzenia tego samego naruszenia w ciągu trzech lat lub masowego wycieku dotykającego ponad 10 mln osób bazową karę można podwyższyć nawet o 100 proc. Rozszerzono katalog okoliczności łagodzących o dobrowolne wzmocnienie ochrony osobowych informacji kredytowych i szybkie wdrożenie środków ochrony konsumentów. Obecny wyciek – 16 firm i ok. 100 tys. rekordów – jest daleko poniżej progu podwyższenia wynoszącego 10 mln osób. Przepisy przejściowe opierają się na art. 14 ustawy podstawowej o administracji: do naruszeń sprzed nowelizacji stosuje się przepisy obowiązujące w chwili naruszenia, ale jeśli nowe przepisy są korzystniejsze, można zastosować nowe. FSC wyjaśniła, że jawne opublikowanie zasad nakładania kar pieniężnych zwiększyło przewidywalność.

Zapis o odszkodowaniach cofnął się od „nadzoru nad pełnymi odszkodowaniami” do „potrzeby dołożenia wszelkich starań”

We wrześniu 2025 r., przy incydencie w Lotte Card, dokumenty FSC wymieniały wśród działań Lotte Card „pełne odszkodowanie wypłacane z góry w razie nieuprawnionego użycia wynikającego z naruszenia bezpieczeństwa”, a FSC zapowiedziała, że będzie „ściśle zarządzać i nadzorować” „działania Lotte Card na rzecz ochrony konsumentów, w tym pełne odszkodowania w razie wystąpienia szkód”. Międzyresortowy plan z października tego samego roku przewidywał „złagodzenie ciężaru dowodu spoczywającego na konsumentach, gdy do włamania dochodzi z powodu zaniedbań firmy w zakresie bezpieczeństwa”, oraz „rozważenie utworzenia funduszu” wykorzystującego wpływy z kar pieniężnych na wsparcie poszkodowanych.

W obecnej sprawie zapis o odszkodowaniach osłabł o stopień. Dokumenty z posiedzenia 4 października stwierdzały w odniesieniu do instytucji finansowych, w których doszło do naruszeń, że „w przypadku potwierdzenia szkód konsumentów należy dołożyć wszelkich starań, by przekazać konsumentom szczegółowe informacje i by naprawienie szkód i odszkodowania nastąpiły szybko i bez zakłóceń”. W dokumentach z planem działań z 14 października, w których ujawniono szkody w 16 firmach i ok. 100 tys. rekordów, słowa „odszkodowanie” i „naprawienie szkód” nie pojawiają się ani razu.

Władze położyły nacisk na zapobieganie szkodom wtórnym. 6 października wydały ostrzeżenie konsumenckie nr 2026-26 na poziomie „uwaga” i wyznaczyły miesięczny, począwszy od 6 października, „okres specjalnego reagowania na szkody wtórne wynikające z wycieku danych osobowych”. Poleciły instytucjom finansowym uruchomić dedykowane punkty konsultacyjne i wzmocnić systemy wykrywania nietypowych transakcji (FDS). Władze poinformowały, że „dotychczas nie potwierdzono przypadków wyprowadzenia środków klientów w wyniku oszustw, takich jak vishing, w związku z obecnymi wyciekami danych osobowych z instytucji finansowych”. Według władz wśród ujawnionych informacji są numery rejestracyjne rezydentów, ale hasła i hasła jednorazowe (OTP) nie wyciekły.

Środki zapobiegawcze wskazane przez władze to w większości usługi, o które konsumenci muszą wystąpić sami. Do usługi blokady prewencyjnej transakcji kredytowych, zdalnego zakładania rachunków i open bankingu na koniec sierpnia zapisało się ok. 7 mln osób (możliwe wielokrotne zapisy), a system zapobiegania incydentom dla osób, których dane zostały ujawnione, na portalu FINE Służby Nadzoru Finansowego (fine.fss.or.kr) również wymaga samodzielnej rejestracji. Według władz platforma wymiany informacji o podejrzeniach oszustw w sektorze finansowym ASAP od uruchomienia w październiku 2025 r. do sierpnia 2026 r. wstrzymała płatności z 7666 podejrzanych rachunków, zapobiegając szkodom w wysokości ok. 69,94 mld wonów.

Źródła (KST)

• Komisja Usług Finansowych · 2026-10-14 · 금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다. 금융위 사무처장 주재, 「제2차 긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87927
• Komisja Usług Finansowych · 2026-10-06 · 全금융권이 비상한 경각심을 갖고 침해위협에 대응해 나가겠습니다. - 금융위원장 주재 금융위·금감원 합동 「全금융권 긴급 점검회의」 개최 · https://www.fsc.go.kr/no010101/87876
• Komisja Usług Finansowych · 2026-10-06 · 최근 금융권 개인정보 유출사고에 따른 보이스피싱·스미싱 등 피해에 주의하세요. · https://www.fsc.go.kr/no010101/87882
• Komisja Usług Finansowych · 2026-10-02 · 최근 발생하는 금융권 침해위협에 면밀히 대응해 나가겠습니다. - 금융위원회 사무처장 주재 「긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87869
• Komisja Usług Finansowych · 2026-10-21 · 신용정보법 과징금 부과의 예측 가능성을 한층 높였습니다. - ｢신용정보업감독규정｣ 개정안 제18차 정례 금융위원회 의결 · https://www.fsc.go.kr/no010101/87973
• Komisja Usług Finansowych · 2026-05-26 · 금융권 AI 전환 본격화! 금융분야 망분리 규제를 완화하여 혁신은 넓게, 보안은 더 단단하게 하겠습니다. - ｢고성능 AI 관련 금융권 보안위협 대응 간담회｣ 실시 · https://www.fsc.go.kr/no010101/86972
• Korea Policy Briefing (Ministerstwo Nauki i ICT oraz resorty współpracujące) · 2025-10-22 · 범부처 정보보호 대책 발표…해킹 정황 시 기업 신고 없어도 조사 · https://www.korea.kr/news/policyNewsView.do?newsId=148952831
• Komisja Usług Finansowych · 2025-09-18 · 롯데카드 정보유출 관련 긴급 대책회의 개최 · https://www.fsc.go.kr/no010101/85319