Um ano após a 'inspeção geral de todo o setor financeiro', 16 instituições invadidas e 100 mil registros vazados: autoridades repetem as mesmas medidas
SEUL
Mais de um ano depois de as autoridades financeiras terem proclamado uma "inspeção geral da segurança financeira e da proteção de informações em todo o setor financeiro" após o vazamento de dados da Lotte Card, 16 instituições financeiras, entre elas 4 bancos, foram invadidas por hackers e cerca de 100 mil registros de dados pessoais vazaram. A Comissão de Serviços Financeiros (FSC) realizou no dia 14, às 15h, no Complexo Governamental de Seul, a «2ª Reunião de Resposta à Situação de Emergência», presidida por Shin Jin-chang, titular da Secretaria-Geral, divulgou a dimensão dos danos e informou que, na autoinspeção de 555 empresas de todo o setor, 130 relataram deficiências como a não aplicação dos patches de segurança mais recentes e a falta de monitoramento 24 horas. A FSC voltou a apresentar nesse dia como medidas uma inspeção completa e o reforço da responsabilidade dos diretores-presidentes (CEO), mas disse que o alcance e o cronograma da inspeção serão definidos "em consulta com o setor financeiro". Há um ano, no caso da Lotte Card, a FSC disse que administraria e supervisionaria "as medidas de proteção ao consumidor da Lotte Card, como a compensação integral", mas a palavra 'compensação' não aparece no documento de medidas do dia 14.
Mais de um ano após a promessa de 'inspeção geral de todo o setor', 16 instituições invadidas
A FSC realizou em 18 de setembro de 2025 uma reunião de emergência sobre o vazamento de dados da Lotte Card, presidida por Kwon Dae-young, vice-presidente da FSC. A FSC estabeleceu nesse dia como tarefa uma "inspeção geral da segurança financeira e da proteção de informações em todo o setor financeiro e uma melhoria institucional de fundo" e afirmou que "também inicia imediatamente uma inspeção de emergência da postura de gestão de segurança do setor financeiro e uma melhoria institucional de fundo na área de segurança de TI". Kwon pediu às instituições financeiras que "sob a responsabilidade do CEO, reexaminem de forma integral todo o sistema de TI e o sistema de proteção de informações" e advertiu: "uma vez que uma atitude complacente que vê o investimento em segurança como custo ou tarefa extra pode provocar uma situação grave". A FSC disse que "introduzirá multas punitivas que ultrapassem o nível das multas comuns em caso de incidentes de segurança graves".
Um mês depois, em 22 de outubro de 2025, o Ministério da Ciência e TIC apresentou com outros ministérios o «Plano Abrangente Interministerial de Proteção de Informações». O vice-primeiro-ministro e ministro da Ciência e TIC, Bae Kyung-hoon, fez o briefing, e Shin Jin-chang, titular da Secretaria-Geral da FSC, também compareceu. O governo disse que "inicia imediatamente uma ampla inspeção de vulnerabilidades de segurança em cerca de 1.600 sistemas de TI usados pela maioria da população, como os dos setores público, financeiro e de telecomunicações". O plano incluiu também "o reforço da responsabilidade do CEO e do papel do CISO" e "a introdução de multas punitivas".
Menos de um ano depois, em 30 de setembro de 2026, as autoridades financeiras receberam a notificação do incidente de invasão no Shinhan Bank. No documento da FSC de 2 de outubro, constou que "ocorreram danos adicionais devido a ataques cibernéticos contra as principais instituições financeiras, como o KB Kookmin Bank". As empresas afetadas divulgadas pela FSC no dia 14 são 4 bancos (Shinhan, Kookmin, Busan e Hana), 4 bancos de poupança (Yegaram, Welcome, DB e OK), 2 empresas financeiras especializadas em crédito (Hyundai Capital e KDB Capital), 2 empresas de financiamento on-line (PFCT e Mouda), 1 empresa de serviços financeiros eletrônicos (Brightfixx), 2 provedores de serviços de ativos virtuais (Streami e Prabang) e 1 instituição de finanças mútuas (Federação Central dos Bancos Comunitários Saemaeul). São 16 empresas de 7 setores. A FSC afirmou que "o volume do vazamento de informações foi estimado em cerca de 100 mil registros (nome, contato, número de registro de residente, e-mail etc.)" e disse que o número de empresas afetadas pode aumentar ao longo da investigação.
Nas duas semanas após a notificação do incidente do Shinhan Bank, as empresas afetadas listadas nos documentos das autoridades não pararam de aumentar. No documento de 2 de outubro, apareciam nominalmente o Shinhan Bank e o Kookmin Bank, e o documento da reunião do dia 4, presidida pelo presidente da FSC, registrou sem nomes 7 grandes instituições financeiras que haviam notificado invasões. No documento do dia 14, passaram a ser 16.
130 instituições financeiras falham no básico, como patches de segurança e monitoramento 24 horas
A primeira inspeção adotada pelas autoridades financeiras após o caso não foi uma inspeção presencial do Serviço de Supervisão Financeira (FSS), mas uma autoinspeção das próprias instituições. As autoridades distribuíram, a partir da reunião de 2 de outubro, uma lista de verificação de 12 itens, e até 8 de outubro 555 empresas apresentaram os resultados. A FSC disse que "pelos resultados da inspeção, um total de 425 empresas os apresentou como 'adequados', e 130 empresas relataram ter deficiências". São 23,4% das empresas inspecionadas.
As deficiências foram "não aplicação dos patches de segurança mais recentes", "gestão insuficiente de sistemas sem suporte técnico do fabricante (EOS: End of Support)", "falta de sistema de monitoramento em tempo real (24 horas)" e "gestão insuficiente da superfície de ataque". Como exemplo de gestão insuficiente da superfície de ataque, a FSC citou "a omissão de autenticação e autorização para sistemas externos e a não adoção de procedimentos de autenticação reforçada (MFA) para serviços importantes". A FSC disse que "foram encontradas relativamente mais deficiências nos setores de serviços financeiros eletrônicos e de financiamento on-line, cuja capacidade de segurança é relativamente mais fraca".
O problema dos patches de segurança era uma tarefa que a própria FSC havia apontado cinco meses antes. A FSC realizou em 22 de maio de 2026 a «Reunião sobre a Resposta a Ameaças de Segurança ao Setor Financeiro Relacionadas à IA de Alto Desempenho» e anunciou que elaboraria em junho diretrizes de segurança para IA. Disse que as diretrizes trariam "critérios práticos como os critérios de classificação dos recursos de TI e ▲a prioridade de patches de programas". Instituições financeiras de pequeno e médio porte, entre outras, sugeriram na ocasião que "lhes informem as prioridades para que possam aplicar primeiro os patches de segurança mais urgentes". Cinco meses depois, na autoinspeção, a "não aplicação dos patches de segurança mais recentes" encabeçou a lista das principais deficiências.
FSC diz que "ordenou várias vezes" e aponta o descumprimento do básico pelas instituições financeiras
As autoridades financeiras explicaram que agiram logo após o incidente. Segundo a FSC, o FSS e o Instituto de Segurança Financeira iniciaram uma investigação presencial no mesmo dia em que receberam a notificação do incidente do Shinhan Bank, 30 de setembro, e ainda investigam a rota de invasão e o método de ataque. As autoridades compartilharam os IPs dos atacantes com todo o setor financeiro e realizaram em sequência as reuniões de 2 e 14 de outubro, presididas por Shin, titular da Secretaria-Geral, e a «Reunião de Inspeção de Emergência de Todo o Setor Financeiro» conjunta da FSC e do FSS no dia 4, presidida por Lee Eog-weon, presidente da FSC. Na reunião do dia 14 também participaram o Ministério da Ciência e TIC, o Ministério do Interior e Segurança, a Comissão de Proteção de Informações Pessoais, a Agência Nacional de Polícia e a Agência de Internet e Segurança da Coreia (KISA).
Shin apontou no dia 14: "Embora tenhamos ordenado várias vezes inspeções completas e o reforço da gestão por diversos motivos, como o vazamento de dados da Lotte Card e o choque do Mythos, o fato de terem sido encontrados casos em que as instituições financeiras não cumprem bem aspectos básicos é algo muito doloroso". Shin disse: "Como no setor financeiro a confiança e a segurança são mais importantes do que tudo, uma gestão de segurança rigorosa para prevenir incidentes de segurança é indispensável". Lee Eog-weon disse no dia 4: "Todo o setor financeiro deve, a partir deste caso, reexaminar desde o início todo o seu sistema de segurança da informação com uma determinação extraordinária e o mais alto nível de alerta, e elevar em um grau o seu nível de segurança".
A FSC apontou como via de ataque os sistemas usados por "pessoal externo, como captadores de empréstimos e empresas terceirizadas, que foi a causa dos recentes incidentes de invasão". A FSC ordenou que "todo acesso externo seja, em princípio, bloqueado, exceto quando indispensável para a prestação de serviços ao consumidor ou para a execução de tarefas", e afirmou que, se apesar do compartilhamento das informações sobre os ataques "ocorrerem incidentes de invasão semelhantes, responderá com rigor de acordo com a legislação pertinente".
Segundo a fala de Shin, as autoridades ordenaram repetidamente inspeções completas no caso da Lotte Card e no choque do Mythos. Mesmo assim, na autoinspeção de outubro de 2026, 130 das 555 empresas relataram por conta própria não ter itens básicos como patches e monitoramento. O método de inspeção também mudou. Em setembro de 2025, a FSC disse que "iniciará imediatamente a inspeção do FSS sobre a situação de segurança de todas as empresas de cartão", mas a primeira inspeção de todo o setor financeiro após o caso de outubro de 2026 foi uma autoinspeção em que as instituições preencheram e entregaram uma lista de verificação.
Medidas de um ano atrás e as do dia 14 coincidem em 'responsabilidade do CEO, inspeção completa e melhoria institucional'
As medidas em quatro eixos apresentadas pela FSC no dia 14 coincidem em grande parte com a redação de um ano atrás. O primeiro item é uma inspeção geral de segurança. As instituições financeiras devem "listar e atualizar todos os pontos de contato em que os sistemas de TI se conectam com o exterior", e as autoridades disseram que orientarão e supervisionarão para que "também fiquem claros a linha de reporte e o escopo de responsabilidade do CEO, CISO, CIO etc.". O que a FSC exigiu em setembro de 2025 foi "reexaminar de forma integral" todo o sistema de proteção de informações "sob a responsabilidade do CEO", e o plano interministerial de outubro do mesmo ano incluía "o reforço da responsabilidade do CEO e do papel do CISO".
O endurecimento das sanções também se repetiu. A FSC afirmou no dia 14 que "planeja promover o quanto antes diversas medidas de melhoria institucional para reforçar a responsabilidade do CEO e aumentar a eficácia das sanções". Em setembro de 2025, prometeu "multas punitivas" e, no plano interministerial de outubro, "elevar multas administrativas e sanções pecuniárias e introduzir multas coercitivas e multas punitivas". Um ano depois, o mesmo tema voltou a aparecer como 'planeja promover'. Nos novos critérios de sanções pecuniárias aprovados pela FSC no dia 21, o limite legal de imposição pela Lei de Informações de Crédito continua registrado, em princípio, em 3% do faturamento total.
O plano interministerial de outubro de 2025 disse que "inicia imediatamente" a inspeção de vulnerabilidades de segurança de "cerca de 1.600 sistemas de TI", incluindo os do setor financeiro. Um ano depois, em 14 de outubro de 2026, a FSC voltou a apresentar uma inspeção completa e disse que "o alcance e o cronograma concretos da inspeção" serão "definidos rapidamente" em consulta com o setor financeiro.
Novas medidas ficam sem prazo, no 'o quanto antes' e no 'estudo'
O único cronograma com data no comunicado do dia 14 é o prazo final (8 de outubro) da inspeção por lista de verificação, já encerrada. Tudo o que resta a fazer não tem prazo.
Na área de detecção precoce de ameaças, o sistema de informações sobre o nível de ameaças de IA "está previsto para ser elaborado o quanto antes", e a infraestrutura de inspeção de vulnerabilidades baseada em IA "também terá sua construção promovida". Na área de supervisão permanente, será promovida uma proposta de "ampliar para duas ou mais vezes por ano", apenas para as grandes empresas, a inspeção e avaliação de vulnerabilidades das instituições financeiras, que hoje é anual (duas vezes por ano para sites externos), e a base para que as autoridades inspecionem a qualquer momento "está prevista para ser estudada e promovida". No apoio às empresas de pequeno e médio porte, o Instituto de Segurança Financeira, junto com as associações e federações centrais de cada setor, "estuda" a construção de um sistema conjunto de monitoramento de segurança baseado em IA. Para as empresas de crédito ao consumidor e as agências corporativas de seguros (GA), que não estão sujeitas à Lei de Transações Financeiras Eletrônicas, foi dito que medidas de reforço da segurança serão "estudadas e promovidas o quanto antes".
Na primeira reunião, de 2 de outubro, a FSC também disse apenas que "está previsto que se apresentem e relatem" os resultados da autoinspeção "no menor prazo possível". A inspeção foi concluída no dia 8 e, até o dia 14, as empresas afetadas confirmadas aumentaram para 16.
Em maio, flexibilização da separação de redes e isenção por falhas de patches; no dia 21, multas menores para infrações leves
Junto com a resposta aos ataques hackers, as autoridades também vêm adotando medidas no sentido de flexibilizar a regulação. Na reunião de 22 de maio, a FSC disse que "promoverá rapidamente a flexibilização da regulação de separação de redes para o uso de IA com fins de segurança" e decidiu suspender temporariamente a regulação por um ano, mediante pedido, para 49 instituições financeiras com ativos totais de 10 trilhões de wons ou mais e 1.000 funcionários permanentes ou mais. Para instituições financeiras com alto nível de capacidade, disse que "também planeja estudar e promover uma proposta de suspender totalmente a regulação de separação de redes". Para falhas leves de TI ocorridas durante a aplicação de patches de segurança, disse que "também promoverá a atenuação ou isenção de sanções, desde que haja recuperação rápida e medidas de proteção ao consumidor". Kwon Dae-young, vice-presidente da FSC, disse na ocasião: "As ameaças de segurança da IA de alto desempenho são como o vírus do resfriado: não são algo que se possa bloquear completamente, mas uma ameaça com a qual é preciso conviver e que é preciso gerenciar". Shin disse também no dia 14: "Vamos promover de forma mais minuciosa e com mais rapidez melhorias institucionais como a flexibilização da regulação de separação de redes".
A revisão do «Regulamento de Supervisão do Negócio de Informações de Crédito», aprovada no dia 21 na 18ª reunião ordinária, entra em vigor no dia 23. As taxas de referência de imposição, que tinham três níveis (50%, 75% e 100%), passaram a faixas contínuas: de 1% a 30% para infrações leves, de 30% a 65% para infrações graves e de 65% a 100% para infrações muito graves. O exemplo dado pela FSC é o de uma instituição financeira hipotética com vendas de 7 trilhões de wons e lucro líquido de 700 bilhões de wons. A multa básica de uma 'infração de gravidade leve', com pontuação de gravidade de 1,2 ponto, passa de 105 bilhões de wons (taxa de referência de 50%) para 21 bilhões de wons (taxa de referência de 10%), um quinto. No caso com pontuação de gravidade de 2,5 pontos, pelo novo critério calculam-se 157,5 bilhões de wons com a taxa de referência de 75% e depois somam-se 52,5 bilhões de wons de agravante de 25%, resultando em 210 bilhões de wons, o mesmo que antes.
A FSC explicou que passou a permitir agravar a multa em até 100% da multa básica em caso de reincidência na mesma infração em 3 anos ou de vazamentos em grande escala que afetem 10 milhões de pessoas ou mais. O reforço voluntário da proteção de informações de crédito pessoais e a rápida implementação de medidas de proteção ao consumidor foram ampliados como motivos de atenuação. Este vazamento de 16 empresas e cerca de 100 mil registros fica muito abaixo do critério de agravamento de 10 milhões de pessoas. As disposições transitórias seguem o artigo 14 da Lei Básica de Administração: às infrações anteriores à revisão aplica-se o regulamento vigente na época da infração, mas o regulamento revisado pode ser aplicado se for mais favorável. A FSC explicou que, ao divulgar de forma transparente os critérios das multas, aumentou a previsibilidade.
Redação sobre compensação de danos recua de 'administrar e supervisionar a compensação integral' para 'é preciso fazer o máximo'
No caso da Lotte Card, em setembro de 2025, o documento da FSC trazia como medida da Lotte Card a "compensação antecipada integral em caso de uso fraudulento decorrente do incidente de invasão", e a FSC disse que "administraria e supervisionaria de perto" "as medidas de proteção ao consumidor da Lotte Card, como a compensação integral em caso de danos relacionados". O plano interministerial de outubro do mesmo ano afirmou que, "se ocorrer um ataque hacker por negligência de segurança de uma empresa, será aliviado o ônus da prova do consumidor" e que "estuda a criação de um fundo" que destine a arrecadação de multas ao apoio às vítimas.
Neste caso, a redação sobre compensação ficou um grau mais fraca. O documento da reunião de 4 de outubro registrou, sobre as instituições financeiras em que houve incidentes de invasão, que "se forem confirmados danos aos consumidores, é preciso fazer o máximo para notificar informações detalhadas aos consumidores e para que a reparação de danos e a compensação, entre outras, ocorram de forma rápida e sem contratempos". No documento de medidas do dia 14, que divulgou danos em 16 empresas e cerca de 100 mil registros, as palavras 'compensação' e 'reparação de danos' não aparecem nem uma vez.
As autoridades deram prioridade a bloquear danos secundários. No dia 6, emitiram o alerta ao consumidor nº 2026-26 no nível de 'atenção' e definiram um mês a partir do dia 6 como 'período especial de resposta a danos secundários do vazamento de dados pessoais'. Ordenaram às instituições financeiras que criassem canais de atendimento dedicados e reforçassem os sistemas de detecção de transações anômalas (FDS). As autoridades afirmaram: "Até o momento, não foi confirmado nenhum caso em que recursos de clientes tenham saído por danos como golpes de phishing por voz em relação a este incidente de vazamento de dados pessoais das instituições financeiras". Segundo a explicação das autoridades, as informações vazadas incluem números de registro de residente, mas senhas e senhas de uso único (OTP) não vazaram.
Os meios de prevenção de danos indicados pelas autoridades são, em sua maioria, serviços que o próprio consumidor precisa solicitar. O bloqueio de segurança de operações de crédito, abertura de contas não presencial e open banking tinha cerca de 7 milhões de inscritos (é possível inscrição múltipla) no fim de agosto, e o sistema de prevenção de incidentes para pessoas com dados pessoais expostos do FINE (fine.fss.or.kr), do FSS, também exige registro do próprio interessado. As autoridades disseram que a ASAP, plataforma do setor financeiro para compartilhamento de informações sobre suspeita de fraude, suspendeu desde seu lançamento, em outubro de 2025, até agosto de 2026, os pagamentos de 7.666 contas suspeitas e evitou danos de cerca de 69,94 bilhões de wons.
Fontes (KST)
- Comissão de Serviços Financeiros · 2026-10-14 · 금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다. 금융위 사무처장 주재, 「제2차 긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87927
- Comissão de Serviços Financeiros · 2026-10-06 · 全금융권이 비상한 경각심을 갖고 침해위협에 대응해 나가겠습니다. - 금융위원장 주재 금융위·금감원 합동 「全금융권 긴급 점검회의」 개최 · https://www.fsc.go.kr/no010101/87876
- Comissão de Serviços Financeiros · 2026-10-06 · 최근 금융권 개인정보 유출사고에 따른 보이스피싱·스미싱 등 피해에 주의하세요. · https://www.fsc.go.kr/no010101/87882
- Comissão de Serviços Financeiros · 2026-10-02 · 최근 발생하는 금융권 침해위협에 면밀히 대응해 나가겠습니다. - 금융위원회 사무처장 주재 「긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87869
- Comissão de Serviços Financeiros · 2026-10-21 · 신용정보법 과징금 부과의 예측 가능성을 한층 높였습니다. - ｢신용정보업감독규정｣ 개정안 제18차 정례 금융위원회 의결 · https://www.fsc.go.kr/no010101/87973
- Comissão de Serviços Financeiros · 2026-05-26 · 금융권 AI 전환 본격화! 금융분야 망분리 규제를 완화하여 혁신은 넓게, 보안은 더 단단하게 하겠습니다. - ｢고성능 AI 관련 금융권 보안위협 대응 간담회｣ 실시 · https://www.fsc.go.kr/no010101/86972
- Korea Policy Briefing (Ministério da Ciência e TIC e outros ministérios) · 2025-10-22 · 범부처 정보보호 대책 발표…해킹 정황 시 기업 신고 없어도 조사 · https://www.korea.kr/news/policyNewsView.do?newsId=148952831
- Comissão de Serviços Financeiros · 2025-09-18 · 롯데카드 정보유출 관련 긴급 대책회의 개최 · https://www.fsc.go.kr/no010101/85319