La un an după „verificarea integrală a întregului sector financiar”, 16 companii financiare sparte și 100.000 de înregistrări scurse; autoritățile repetă aceleași măsuri

SEUL

La un an după ce autoritățile financiare au anunțat, în urma scurgerii de date de la Lotte Card, o „verificare integrală a securității financiare și a protecției informațiilor în întregul sector financiar”, 16 companii financiare, între care patru bănci, au fost sparte, iar circa 100.000 de înregistrări cu date personale au fost sustrase. Comisia pentru Servicii Financiare (FSC) a ținut pe 14 octombrie, la ora 15:00, la Complexul Guvernamental din Seul, a „doua ședință de urgență pentru răspuns la situație”, prezidată de Shin Jin-chang, secretar general al FSC; FSC a făcut publică amploarea pagubelor și a anunțat că, într-o autoevaluare efectuată de 555 de companii din întregul sector financiar, 130 au raportat deficiențe precum neaplicarea celor mai recente patch-uri de securitate sau lipsa monitorizării 24 de ore din 24. FSC a prezentat din nou în aceeași zi, ca măsuri, o verificare exhaustivă și întărirea răspunderii directorilor generali (CEO), dar a precizat că sfera și calendarul verificărilor vor fi stabilite „în consultare cu sectorul financiar”. Acum un an, în cazul Lotte Card, FSC se angajase să gestioneze și să supravegheze „măsurile de protecție a consumatorilor ale Lotte Card, inclusiv despăgubirea integrală”, însă cuvântul „despăgubire” nu apare în documentele cu măsurile din 14.

La un an după promisiunea unei „verificări integrale a întregului sector financiar”, 16 companii sparte

Pe 18 septembrie 2025, FSC a ținut, sub conducerea vicepreședintelui Kwon Dae-young, o ședință de urgență privind scurgerea de date de la Lotte Card. FSC și-a stabilit atunci ca obiectiv „verificarea integrală a securității financiare și a protecției informațiilor în întregul sector financiar și o reformă instituțională de fond” și a anunțat că „lansează imediat și o verificare de urgență a stării de pregătire în materie de securitate a sectorului financiar, precum și o reformă instituțională de fond privind securitatea informatică”. Vicepreședintele Kwon le-a cerut instituțiilor financiare „să reverifice integral, sub răspunderea CEO-ului, ansamblul sistemelor informatice și al sistemelor de protecție a informațiilor” și a avertizat „întrucât o atitudine comodă, care tratează investițiile în securitate ca pe un cost sau o sarcină suplimentară, poate duce la o situație gravă”. FSC a anunțat că va introduce „amenzi punitive care depășesc nivelul amenzilor obișnuite în cazul unor incidente grave de securitate”.

O lună mai târziu, pe 22 octombrie 2025, Ministerul Științei și TIC a prezentat, împreună cu ministerele implicate, un „plan cuprinzător interministerial de protecție a informațiilor”. Vicepremierul și ministrul științei și TIC Bae Kyung-hoon a susținut briefingul, alături de Shin Jin-chang, secretar general al FSC. Guvernul a declarat că „lansează imediat o amplă verificare a vulnerabilităților de securitate pentru cele aproximativ 1.600 de sisteme informatice folosite de marea majoritate a populației, din sectorul public, financiar, al telecomunicațiilor etc.”. „Întărirea răspunderii CEO și a rolului CISO” și „introducerea amenzilor punitive” au fost incluse de asemenea în plan.

La mai puțin de un an după aceea, pe 30 septembrie 2026, autoritățile financiare au primit sesizarea unui incident de intruziune la Shinhan Bank. În documentele FSC din 2 octombrie se arăta că „atacuri cibernetice asupra unor instituții financiare importante, între care Kookmin Bank, au provocat pagube suplimentare”. Companiile afectate făcute publice de FSC pe 14 sunt patru bănci (Shinhan, Kookmin, Busan și Hana), patru bănci de economii (Yegaram, Welcome, DB și OK), două companii de credit specializat (Hyundai Capital și KDB Capital), două platforme de finanțare online (PFCT și Mouda), un operator de finanțe electronice (Brightfix), doi operatori de active virtuale (Streami și Prabang) și o instituție de credit mutual (Federația Băncilor Saemaul Geumgo). În total, 16 companii din șapte sectoare. FSC a declarat că „amploarea scurgerii de informații a fost estimată la circa 100.000 de înregistrări (nume, date de contact, coduri numerice de înregistrare a rezidenților, adrese de e-mail etc.)” și că numărul companiilor afectate ar putea crește pe parcursul anchetei.

În cele două săptămâni de la sesizarea incidentului de la Shinhan Bank, lista companiilor afectate din documentele autorităților a tot crescut. În documentele din 2 octombrie erau numite doar Shinhan Bank și Kookmin Bank, iar documentele ședinței din 4, prezidate de președintele FSC, menționau, fără a le numi, șapte instituții financiare importante care raportaseră intruziuni. În documentele din 14 numărul a ajuns la 16.

130 de companii financiare nu au nici elementele de bază, precum patch-urile de securitate și monitorizarea non-stop

Prima verificare lansată de autoritățile financiare după acest episod nu a fost o inspecție la fața locului a Serviciului de Supraveghere Financiară (FSS), ci o autoevaluare a companiilor financiare. Cu prilejul ședinței din 2 octombrie, autoritățile au distribuit o listă de verificare cu 12 puncte, iar până pe 8 octombrie 555 de companii au transmis rezultatele. FSC a declarat că „în urma verificării, în total 425 de companii au raportat situația ca «adecvată», iar 130 au raportat existența unor deficiențe”. Aceasta înseamnă 23,4% dintre companiile verificate.

Deficiențele au vizat „neaplicarea celor mai recente patch-uri de securitate”, „gestionarea deficitară a sistemelor pentru care producătorul a încheiat suportul tehnic (EOS: End of Support)”, „lipsa unui sistem de monitorizare în timp real (24 de ore din 24)” și „gestionarea deficitară a suprafeței de atac”. Ca exemple de gestionare deficitară a suprafeței de atac, FSC a citat „lipsa autentificării și autorizării pentru sistemele expuse în exterior și neintroducerea procedurilor de autentificare consolidată (MFA) pentru serviciile importante”. FSC a precizat că „relativ multe deficiențe au fost constatate în sectoarele finanțelor electronice și finanțării online, unde capacitățile de securitate sunt relativ slabe”.

Problema patch-urilor de securitate fusese semnalată chiar de FSC cu cinci luni în urmă. Pe 22 mai 2026, FSC a organizat o „întâlnire privind răspunsul la amenințările de securitate pentru sectorul financiar legate de IA de înaltă performanță” și a anunțat că va elabora în iunie ghiduri de securitate pentru IA. FSC a precizat că ghidurile vor include „criterii practice, precum criteriile de clasificare a resurselor informatice și ▲ordinea de prioritate a patch-urilor de program”. Instituțiile financiare mici și mijlocii, printre altele, au cerut atunci să li se „comunice o ordine de prioritate, astfel încât să poată aplica mai întâi patch-urile de securitate urgente”. Cinci luni mai târziu, la autoevaluare, „neaplicarea celor mai recente patch-uri de securitate” a ajuns în fruntea principalelor deficiențe.

FSC invocă nerespectarea elementelor de bază de către companiile financiare, spunând că le-a „cerut de mai multe ori”

Autoritățile financiare au explicat că au reacționat imediat după incident. Potrivit FSC, FSS și Institutul de Securitate Financiară au început o anchetă la fața locului pe 30 septembrie, chiar în ziua în care au primit sesizarea incidentului de la Shinhan Bank, și investighează în continuare căile de intruziune și metodele de atac. Autoritățile au transmis adresele IP ale atacatorilor întregului sector financiar și au organizat succesiv ședințe prezidate de secretarul general pe 2 și 14 octombrie, iar pe 4, „ședința de urgență pentru verificarea întregului sector financiar”, comună FSC și FSS, prezidată de președintele FSC, Lee Eok-won. La ședința din 14 au participat și Ministerul Științei și TIC, Ministerul Administrației Publice și Securității, Comisia pentru Protecția Informațiilor Personale, Agenția Națională de Poliție și Agenția Coreeană pentru Internet și Securitate (KISA).

Shin Jin-chang a subliniat pe 14 că „deși am cerut de mai multe ori verificări exhaustive și o gestionare mai strictă, cu diverse ocazii precum scurgerea de date de la Lotte Card sau șocul Mythos, este foarte dureros că s-au descoperit cazuri în care companiile financiare nu respectă cum trebuie elementele de bază”. Shin Jin-chang a mai declarat că „întrucât în sectorul financiar încrederea și siguranța sunt mai importante decât orice, o gestionare riguroasă a securității este indispensabilă pentru prevenirea incidentelor de securitate”. Președintele Lee Eok-won declarase pe 4 că „întregul sector financiar trebuie, cu această ocazie, să dea dovadă de o hotărâre excepțională și de cel mai înalt nivel de vigilență, să reverifice de la zero întregul sistem de securitate a informațiilor și să ridice nivelul de securitate cu o treaptă”.

FSC a indicat drept cale de atac sistemele folosite de „personalul extern, precum intermediarii de credite și firmele subcontractante, care a stat la originea recentelor incidente de intruziune”. FSC a ordonat ca „orice acces extern să fie blocat în principiu, cu excepția cazurilor în care este absolut necesar pentru furnizarea de servicii consumatorilor sau pentru desfășurarea activității” și a anunțat că, deși informațiile despre atacuri au fost partajate, „în cazul producerii unor incidente de intruziune similare, intenționează să reacționeze ferm, în conformitate cu legislația aplicabilă”.

Potrivit declarațiilor lui Shin Jin-chang, autoritățile au cerut în repetate rânduri verificări exhaustive cu ocazia incidentului Lotte Card și a șocului Mythos. Cu toate acestea, la autoevaluarea din octombrie 2026, 130 din cele 555 de companii au raportat singure că nu îndeplinesc cerințe de bază precum patch-urile și monitorizarea. S-a schimbat și metoda de verificare. În septembrie 2025, FSC declarase că „lansează imediat o verificare a FSS privind starea securității tuturor companiilor de carduri”, însă prima verificare a întregului sector financiar după episodul din octombrie 2026 a fost o autoevaluare în care companiile financiare completează și transmit o listă de verificare.

Măsurile de acum un an și cele din 14 se suprapun: „răspunderea CEO, verificare exhaustivă, reformă instituțională”

Cele patru direcții de măsuri prezentate de FSC pe 14 se suprapun în mare măsură cu formulările de acum un an. Prima este o verificare integrală a securității. Companiile financiare trebuie „să inventarieze și să actualizeze toate punctele în care sistemele informatice se conectează cu exteriorul”, iar autoritățile au anunțat că vor îndruma și supraveghea companiile „astfel încât să clarifice și liniile de raportare și sfera responsabilităților CEO-ului, CISO-ului, CIO-ului etc.”. În septembrie 2025, FSC ceruse o „reverificare integrală” a întregului sistem de protecție a informațiilor „sub răspunderea CEO-ului”, iar planul interministerial din octombrie același an includea „întărirea răspunderii CEO și a rolului CISO”.

S-a repetat și înăsprirea sancțiunilor. FSC a declarat pe 14 că „intenționează să promoveze rapid și diverse reforme instituționale, între altele pentru întărirea răspunderii CEO și creșterea eficacității sancțiunilor”. În septembrie 2025 promisese „amenzi punitive”, iar planul interministerial din octombrie „majorarea amenzilor contravenționale și a amenzilor administrative, introducerea penalităților de executare și a amenzilor punitive”. După un an, aceeași chestiune revine ca „plan de promovare”. Și în noile criterii de amenzi aprobate de FSC pe 21, plafonul legal prevăzut de Legea informațiilor de credit rămâne în principiu de 3% din cifra de afaceri totală.

Planul interministerial din octombrie 2025 prevedea „lansarea imediată” a verificării vulnerabilităților de securitate pentru „cele aproximativ 1.600 de sisteme informatice”, inclusiv din finanțe. Un an mai târziu, pe 14 octombrie 2026, FSC a propus din nou o verificare exhaustivă, precizând că „sfera și calendarul concret al verificărilor” vor fi „stabilite rapid” în consultare cu sectorul financiar.

Noile măsuri rămân fără termene, la stadiul de „rapid” și „analiză”

Singura dată concretă din comunicatul din 14 este termenul (8 octombrie) al verificării pe bază de listă, deja încheiate. Niciuna dintre sarcinile viitoare nu are termen.

În domeniul detectării timpurii a amenințărilor, FSC a anunțat că un sistem de informații privind nivelul amenințărilor legate de IA „este planificat să fie creat rapid” și că „va promova și construirea” unei infrastructuri de verificare a vulnerabilităților bazate pe IA. În domeniul supravegherii permanente, FSC a anunțat că va promova extinderea „la cel puțin două ori pe an”, doar pentru companiile mari, a verificării și evaluării vulnerabilităților, efectuată în prezent o dată pe an (de două ori pe an pentru site-urile externe), iar temeiul legal care să permită autorităților verificări inopinate „urmează să fie analizat și promovat”. În ceea ce privește sprijinul pentru companiile mici și mijlocii, Institutul de Securitate Financiară „va analiza”, împreună cu asociațiile și federațiile sectoriale, crearea unui sistem comun de monitorizare a securității bazat pe IA. Pentru companiile de creditare private (daebu) și agențiile generale de asigurări (GA), care nu intră sub incidența Legii tranzacțiilor financiare electronice, FSC a anunțat că va „analiza și promova rapid” măsuri de consolidare a securității.

Și la prima ședință din 2 octombrie, FSC s-a limitat să spună că „intenționează să dispună transmiterea și raportarea” rezultatelor autoevaluării „în cel mai scurt timp”. Verificarea s-a încheiat pe 8, iar până pe 14 numărul companiilor afectate confirmate a crescut la 16.

În mai, relaxarea separării rețelelor și exonerare pentru defecțiunile cauzate de patch-uri; pe 21, amenzi mai mici pentru încălcările ușoare

În paralel cu răspunsul la atacurile informatice, autoritățile au continuat să ia și măsuri în direcția relaxării reglementărilor. La întâlnirea din 22 mai, FSC a declarat că „promovează rapid relaxarea reglementării privind separarea rețelelor pentru utilizarea IA în scopuri de securitate” și a decis ca, la cerere, să suspende temporar această reglementare timp de un an pentru 49 de instituții financiare cu active totale de cel puțin 10.000 de miliarde de woni și cel puțin 1.000 de angajați permanenți. Pentru instituțiile financiare cu capacități avansate, a anunțat că „intenționează să analizeze și să promoveze și ridicarea completă a reglementării privind separarea rețelelor”. Pentru defecțiunile informatice minore apărute în procesul de aplicare a patch-urilor de securitate, a anunțat că „va promova și reducerea sancțiunilor sau exonerarea, cu condiția unei restabiliri rapide și a unor măsuri de protecție a consumatorilor”. Vicepreședintele Kwon Dae-young declarase atunci că „amenințările de securitate legate de IA de înaltă performanță sunt ca virusul răcelii: nu sunt ceva ce poate fi blocat complet, ci o amenințare cu care trebuie să trăim și pe care trebuie să o gestionăm”. Shin Jin-chang a declarat și pe 14: „Vom promova mai temeinic și mai rapid reformele instituționale, inclusiv relaxarea reglementării privind separarea rețelelor.”

Proiectul de modificare a „Regulamentului de supraveghere a activităților privind informațiile de credit”, aprobat pe 21 la a 18-a ședință ordinară, intră în vigoare pe 23. Cele trei trepte ale ratei de bază (50%, 75% și 100%) au fost înlocuite cu intervale continue: 1–30% pentru încălcările ușoare, 30–65% pentru încălcările grave și 65–100% pentru încălcările foarte grave. Exemplul dat de FSC este cel al unei instituții financiare ipotetice cu o cifră de afaceri de 7.000 de miliarde de woni și un profit net de 700 de miliarde de woni. Pentru o „încălcare de gravitate redusă”, cu un scor de gravitate de 1,2 puncte, amenda de bază scade de la 105 miliarde de woni (rată de bază de 50%) la 21 de miliarde de woni (rată de bază de 10%), adică la o cincime. Pentru un caz cu un scor de gravitate de 2,5 puncte, noile criterii dau 157,5 miliarde de woni la o rată de bază de 75%, la care se adaugă o majorare de 25%, de 52,5 miliarde de woni, rezultând 210 miliarde de woni, la fel ca înainte.

FSC a explicat că, în cazul repetării aceleiași încălcări în termen de trei ani sau al unei scurgeri masive care afectează peste 10 milioane de persoane, amenda de bază poate fi majorată cu până la 100%. Consolidarea voluntară a protecției informațiilor personale de credit și aplicarea rapidă a măsurilor de protecție a consumatorilor au fost extinse ca motive de reducere. Actuala scurgere, care vizează 16 companii și circa 100.000 de înregistrări, este cu mult sub pragul de majorare de 10 milioane de persoane. Măsurile tranzitorii urmează articolul 14 din Legea-cadru privind administrația: încălcărilor comise înainte de modificare li se aplică regulamentul în vigoare la momentul faptei, dar se poate aplica regulamentul modificat dacă este mai favorabil. FSC a explicat că a sporit predictibilitatea prin publicarea transparentă a criteriilor de calcul al amenzilor.

Formularea privind despăgubirea victimelor a regresat de la „supravegherea despăgubirii integrale” la „necesitatea de a face tot posibilul”

În septembrie 2025, în cazul Lotte Card, documentele FSC menționau printre măsurile Lotte Card „despăgubirea integrală în avans în cazul utilizării frauduloase rezultate din incidentul de intruziune”, iar FSC declarase că va „gestiona și supraveghea îndeaproape” „măsurile de protecție a consumatorilor ale Lotte Card, inclusiv despăgubirea integrală în cazul producerii unor pagube”. Planul interministerial din octombrie același an prevedea „reducerea sarcinii probei pentru consumatori atunci când un atac informatic are loc din cauza neglijenței în materie de securitate a companiei” și „analizarea creării unui fond” care să folosească veniturile din amenzi pentru sprijinirea victimelor.

În episodul actual, formularea privind despăgubirea a slăbit cu o treaptă. Documentele ședinței din 4 octombrie menționau, cu privire la companiile financiare afectate de intruziuni, că „este necesar să se facă tot posibilul pentru ca, atunci când se confirmă pagube pentru consumatori, aceștia să fie informați în detaliu, iar repararea și despăgubirea pagubelor să se facă rapid și fără sincope”. În documentele cu măsurile din 14, care au făcut publice pagubele de la 16 companii și circa 100.000 de înregistrări, cuvintele „despăgubire” și „repararea pagubelor” nu apar niciodată.

Autoritățile au pus accentul pe blocarea pagubelor secundare. Pe 6, au emis alerta pentru consumatori nr. 2026-26 la nivelul „atenție” și au stabilit, de la 6 timp de o lună, o „perioadă de intervenție specială împotriva pagubelor secundare cauzate de scurgerea de informații personale”. Au cerut companiilor financiare să înființeze ghișee de consiliere dedicate și să consolideze sistemele de detectare a tranzacțiilor anormale (FDS). Autoritățile au declarat că „până în prezent nu a fost confirmat niciun caz în care fonduri ale clienților să fi fost sustrase prin fraude precum vishingul în legătură cu actualele incidente de scurgere de informații personale de la companiile financiare”. Potrivit autorităților, informațiile scurse includ coduri numerice de înregistrare a rezidenților, dar parolele și parolele de unică folosință (OTP) nu au fost scurse.

Mijloacele de prevenire indicate de autorități sunt în mare parte servicii la care consumatorii trebuie să se înscrie singuri. Serviciul de blocare preventivă pentru operațiunile de creditare, deschiderea de conturi la distanță și open banking avea la sfârșitul lui august circa 7 milioane de înscrieri (înscrierile multiple sunt posibile), iar și sistemul de prevenire a incidentelor pentru persoanele cu date personale expuse, de pe portalul FINE al FSS (fine.fss.or.kr), necesită înregistrarea individuală. Potrivit autorităților, platforma ASAP de partajare a informațiilor despre suspiciuni de fraudă din sectorul financiar a suspendat, de la lansarea din octombrie 2025 până în august 2026, plățile pentru 7.666 de conturi suspecte, prevenind pagube de circa 69,94 miliarde de woni.

Surse (KST)

• Comisia pentru Servicii Financiare · 2026-10-14 · 금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다. 금융위 사무처장 주재, 「제2차 긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87927
• Comisia pentru Servicii Financiare · 2026-10-06 · 全금융권이 비상한 경각심을 갖고 침해위협에 대응해 나가겠습니다. - 금융위원장 주재 금융위·금감원 합동 「全금융권 긴급 점검회의」 개최 · https://www.fsc.go.kr/no010101/87876
• Comisia pentru Servicii Financiare · 2026-10-06 · 최근 금융권 개인정보 유출사고에 따른 보이스피싱·스미싱 등 피해에 주의하세요. · https://www.fsc.go.kr/no010101/87882
• Comisia pentru Servicii Financiare · 2026-10-02 · 최근 발생하는 금융권 침해위협에 면밀히 대응해 나가겠습니다. - 금융위원회 사무처장 주재 「긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87869
• Comisia pentru Servicii Financiare · 2026-10-21 · 신용정보법 과징금 부과의 예측 가능성을 한층 높였습니다. - ｢신용정보업감독규정｣ 개정안 제18차 정례 금융위원회 의결 · https://www.fsc.go.kr/no010101/87973
• Comisia pentru Servicii Financiare · 2026-05-26 · 금융권 AI 전환 본격화! 금융분야 망분리 규제를 완화하여 혁신은 넓게, 보안은 더 단단하게 하겠습니다. - ｢고성능 AI 관련 금융권 보안위협 대응 간담회｣ 실시 · https://www.fsc.go.kr/no010101/86972
• Korea Policy Briefing (Ministerul Științei și TIC și ministerele implicate) · 2025-10-22 · 범부처 정보보호 대책 발표…해킹 정황 시 기업 신고 없어도 조사 · https://www.korea.kr/news/policyNewsView.do?newsId=148952831
• Comisia pentru Servicii Financiare · 2025-09-18 · 롯데카드 정보유출 관련 긴급 대책회의 개최 · https://www.fsc.go.kr/no010101/85319