Спустя год после «тотальной проверки финансового сектора» взломаны 16 финансовых компаний и утекли 100 тыс. записей… Меры властей — снова те же слова

СЕУЛ

Примерно через год после того, как финансовые регуляторы Южной Кореи пообещали провести «тотальную проверку финансовой безопасности и защиты информации всего финансового сектора» на фоне утечки данных в Lotte Card, 16 финансовых компаний, включая четыре банка, подверглись хакерским атакам, в результате которых произошла утечка около 100 000 записей персональных данных. Комиссия по финансовым услугам (FSC) провела «2-е экстренное совещание по реагированию на ситуацию» в 15:00 14-го числа в правительственном комплексе в Сеуле под председательством генерального секретаря Син Джинчхана. На заседании был раскрыт масштаб ущерба и заявлено, что в ходе самопроверки 555 организаций финансового сектора 130 компаний сообщили о недостатках, таких как отсутствие новейших патчей безопасности и неналаженная система круглосуточного мониторинга. В тот же день FSC вновь предложила в качестве контрмер тотальные проверки и усиление ответственности главных исполнительных директоров (CEO), однако заявила, что рамки и график проверок будут определены «по согласованию с финансовым сектором». Год назад во время инцидента с Lotte Card комиссия обещала контролировать и курировать «меры по защите прав потребителей со стороны Lotte Card, такие как полное возмещение ущерба», однако в материалах о мерах от 14-го числа слово «компенсация» даже не упоминается.

Спустя год после обещания «тотальной проверки всего финансового сектора» взломаны 16 организаций

18 сентября 2025 года FSC провела экстренное совещание по мерам реагирования на утечку данных в Lotte Card под председательством заместителя председателя Квон Дэёна. Тогда комиссия провозгласила своей задачей «тотальную проверку финансовой безопасности и защиты информации всего финансового сектора, а также фундаментальное институциональное улучшение» и заявила: «Мы немедленно приступим к экстренной проверке состояния безопасности в финансовой сфере и коренному совершенствованию институциональной базы в области ИТ-безопасности». Квон потребовал от финансовых компаний «под личную ответственность CEO полностью перепроверить вычислительные системы и структуру защиты информации в целом», а также предупредил, что «беспечное отношение, рассматривающее инвестиции в безопасность как издержки или лишнюю нагрузку, способно привести к тяжелым последствиям». FSC пообещала «в случае серьезных инцидентов в сфере безопасности ввести карательные штрафы, значительно превышающие стандартный уровень штрафных санкций».

Месяц спустя, 22 октября 2025 года, Министерство науки и ИКТ совместно с профильными ведомствами представило «Межведомственный комплексный план по защите информации». Брифинг провели вице-премьер и министр науки и ИКТ Пэ Гёнхун, а также генеральный секретарь FSC Син Джинчхан. Правительство объявило о намерении «немедленно приступить к масштабной проверке уязвимостей безопасности порядка 1600 ИТ-систем, которыми пользуется подавляющее большинство граждан, включая государственный, финансовый и телекоммуникационный секторы». В программу мер также вошли «усиление ответственности CEO и роли директоров по информационной безопасности (CISO)» и «введение карательных штрафов».

Менее чем через год, 30 сентября 2026 года, финансовые регуляторы получили сообщение об инциденте безопасности в банке Shinhan. В материалах FSC от 2 октября говорилось, что «в результате кибератак на ведущие финансовые компании, включая банк Kookmin, возник дополнительный ущерб». 14-го числа FSC обнародовала список пострадавших компаний: четыре банка (Shinhan, Kookmin, Busan и Hana), четыре сберегательных банка (Yegaram, Welcome, DB и OK), две специализированные кредитно-финансовые компании (Hyundai Capital и KDB Capital), две компании сектора онлайн-инвестиций (PFCT и Mouda), один оператор электронных финансовых услуг (Brightfix), два провайдера виртуальных активов (Streami и Prabang) и одна организация взаимного финансирования (Центральная федерация сберегательных касс «Сэмаыль»). Всего 16 учреждений в семи сегментах рынка. FSC сообщила: «Объем утечки информации оценивается приблизительно в 100 000 записей (ФИО, контактные данные, регистрационные номера граждан, адреса электронной почты и др.)», добавив, что в ходе расследования число пострадавших компаний может возрасти.

За две недели, прошедшие с момента регистрации инцидента в Shinhan Bank, число фигурирующих в материалах регуляторов пострадавших компаний непрерывно увеличивалось. В отчете от 2 октября по названиям упоминались Shinhan Bank и Kookmin Bank, а в материалах к совещанию под председательством главы FSC от 4 октября сообщалось о семи ведущих финансовых организациях, заявивших о взломе, без указания их наименований. К 14-му числу их количество достигло 16.

У 130 финансовых компаний отсутствуют даже базовые меры вроде патчей безопасности и круглосуточного мониторинга

Первой проверкой, предпринятой финансовыми властями после нынешнего кризиса, стала не инспекция на местах со стороны Службы финансового надзора (FSS), а внутренняя самопроверка силами самих компаний. По итогам совещания 2 октября ведомство разослало контрольный чек-лист из 12 пунктов, и к 8 октября отчеты предоставили 555 организаций. FSC сообщила: «По результатам проверки 425 компаний отчитались о соответствии статусу „надлежащий“, а 130 компаний сообщили о наличии недостатков». Это составляет 23,4% от общего числа проверенных участников рынка.

Среди выявленных недостатков значатся «неприменение новейших патчей безопасности», «ненадлежащее управление системами с истекшим сроком технической поддержки производителя (EOS: End of Support)», «отсутствие системы мониторинга в реальном времени (в режиме 24/7)» и «недостаточно эффективное управление поверхностью атак». В качестве примера последнего FSC назвала «отсутствие аутентификации и авторизации во внешних системах, а также невнедрение усиленной многофакторной аутентификации (MFA) для критически важных сервисов». В комиссии отметили: «Относительно большое число нарушений было зафиксировано в секторах электронных финансовых услуг и P2P-кредитования (онлайн-инвестиций), где потенциал безопасности сравнительно слаб».

Проблема установки патчей безопасности поднималась самой FSC всего пять месяцев назад. 22 мая 2026 года комиссия провела «Круглый стол по реагированию на угрозы безопасности в финансовом секторе, связанные с высокопроизводительным ИИ», пообещав подготовить в июне профильные руководящие принципы. Предполагалось, что эти стандарты будут содержать «практические нормы, такие как критерии классификации вычислительных ресурсов и приоритеты установки программных обновлений». Представители малых и средних финансовых компаний тогда просили «указать очередность, чтобы в первую очередь устанавливать наиболее неотложные патчи». Спустя пять месяцев по итогам самопроверок пункт «неприменение новейших патчей безопасности» возглавил список основных недочетов.

FSC заявляет о «неоднократных указаниях» и указывает на несоблюдение базовых норм финансовыми компаниями

Регуляторы утверждают, что предприняли меры непосредственно после инцидента. По данным FSC, FSS и Институт финансовой безопасности начали проверку на местах 30 сентября — в день поступления заявления от Shinhan Bank — и до сих пор расследуют пути проникновения и методы атак. Власти передали IP-адреса злоумышленников всем финансовым организациям и провели череду встреч: заседания под председательством генерального секретаря 2 и 14 октября, а также совместное «Экстренное совещание по проверке всего финансового сектора» под руководством главы FSC Ли Оквона 4 октября. Во встрече 14-го числа приняли участие представители Министерства науки и ИКТ, Министерства внутренних дел и безопасности, Комиссии по защите персональных данных, Национального агентства полиции и Корейского агентства интернета и безопасности (KISA).

Генеральный секретарь Син Джинчхан заявил 14 октября: «Тот факт, что после многочисленных прецедентов, таких как утечка данных в Lotte Card и шок от Mythos, когда неоднократно предписывалось провести сплошные проверки и усилить контроль, в финансовых компаниях выявляются случаи несоблюдения элементарных норм, вызывает глубокое сожаление». Син подчеркнул: «В финансовой сфере доверие и безопасность стоят превыше всего, поэтому тщательное управление безопасностью жизненно необходимо для предотвращения подобных инцидентов». Председатель Ли Оквон указал 4 октября: «Пользуясь этим случаем, весь финансовый сектор обязан с чрезвычайной решимостью и максимальной бдительностью пересмотреть систему информационной безопасности с нуля и вывести уровень защиты на новую ступень».

В качестве канала проникновения FSC указала системы, используемые «внешним персоналом, включая кредитных брокеров и подрядчиков, действия которых послужили причиной недавних инцидентов». Регулятор дал указание «в принципе заблокировать любой внешний доступ, за исключением случаев, когда он строго необходим для предоставления услуг клиентам или ведения текущей деятельности», подчеркнув, что, если «подобные инциденты повторятся» вопреки предоставленным данным об атаках, «мы намерены жестко реагировать в строгом соответствии с действующим законодательством».

Судя по заявлениям генерального секретаря Сина, власти неоднократно требовали тотальных инспекций и во время утечки в Lotte Card, и в период кризиса Mythos. Тем не менее в октябре 2026 года 130 из 555 организаций в ходе самопроверки сами признали, что у них не закрыты даже такие базовые аспекты, как патчи и круглосуточный мониторинг. Изменился и формат контроля: если в сентябре 2025 года FSC обещала «немедленно начать инспекцию FSS состояния безопасности всех карточных компаний», то в октябре 2026 года первой общеотраслевой мерой стал опрос, при котором участники рынка лишь заполняли предоставленные опросники.

Меры годичной давности и план от 14 октября полностью дублируют пункты об «ответственности CEO, тотальной проверке и институциональных реформах»

Четыре направления мер, представленные FSC 14-го числа, практически дословно повторяют формулировки годичной давности. Первым пунктом идет масштабная проверка безопасности. Финансовые институты обязаны «составить и актуализировать перечень всех точек подключения вычислительных систем к внешней среде», при этом надзорные органы заявили, что будут направлять компании и контролировать, чтобы те «четко определили каналы отчетности и зоны ответственности CEO, CISO, CIO и других руководителей». Однако еще в сентябре 2025 года FSC требовала «под ответственность CEO» осуществить «полную повторную проверку» всей системы защиты данных, а октябрьский межведомственный план того же года содержал пункт об «усилении ответственности CEO и роли CISO».

Повторились и призывы к ужесточению санкций. 14-го числа FSC заявила, что «планирует в кратчайшие сроки продвигать различные регуляторные меры для усиления ответственности руководства и повышения эффективности наказаний». В сентябре 2025 года регулятор уже сулил «карательные штрафы», а в октябрьском плане заявлялось о намерении «повысить штрафы и административные взыскания, а также ввести судебные неустойки и карательные санкции». Спустя год те же самые инициативы вновь преподносятся в качестве «планов». Даже в новых правилах начисления штрафов, одобренных комиссией 21-го числа, верхний предел штрафа по Закону о кредитной информации по-прежнему в целом зафиксирован на уровне 3% от совокупной выручки.

В октябре 2025 года межведомственный план обещал «немедленно инициировать» проверку уязвимостей «порядка 1600 ИТ-систем», включая финансовую сферу. Год спустя, 14 октября 2026 года, FSC вновь объявила о тотальной проверке, отметив, что «конкретные рамки и график» будут «оперативно согласованы» с представителями финансовой индустрии.

Новые меры остались без четких сроков: лишь формулировки «в кратчайшие сроки» и «рассмотрение»

Единственной конкретной датой в пресс-релизе от 14 октября стал крайний срок уже завершившегося анкетирования (8 октября). Все предстоящие задачи указаны без каких-либо временных ориентиров.

В области раннего обнаружения угроз создание информационной системы об уровнях рисков ИИ «планируется наладить в кратчайшие сроки», а относительно инфраструктуры поиска уязвимостей на базе ИИ указано, что регулятор «намерен способствовать ее созданию». В сфере постоянного надзора планируется «расширить как минимум до двух раз в год» проверки и оценки уязвимостей, которые сейчас проводятся финансовыми компаниями раз в год (дважды в год для внешних сайтов), но только для крупных игроков; правовые же основания для внеплановых ревизий ведомство лишь «намерено рассмотреть и подготовить». В вопросе поддержки малого и среднего бизнеса Институт финансовой безопасности совместно с отраслевыми ассоциациями и союзами «рассмотрит» разработку единой системы мониторинга безопасности на базе ИИ. Что касается микрофинансовых организаций и страховых генеральных агентств (GA), на которые не распространяется действие Закона об электронных финансовых сделках, FSC обещала «оперативно рассмотреть и принять» меры по укреплению их защиты.

На первом заседании 2 октября комиссия также ограничилась указанием на то, что «обяжет представить результаты самопроверок в кратчайшие сроки». Проверка завершилась 8-го числа, а к 14 октября количество подтвержденных пострадавших организаций возросло до 16.

В мае — смягчение сетевой изоляции и освобождение от ответственности за сбои при установке патчей, 21-го числа — снижение штрафов за незначительные нарушения

Параллельно с реагированием на взломы регуляторы предпринимали шаги по ослаблению надзорного бремени. На круглом столе 22 мая FSC объявила, что «будет оперативно смягчать требования сетевой изоляции при использовании ИИ в целях безопасности»: 49 финансовым учреждениям с общими активами свыше 10 трлн вон и штатом от 1000 сотрудников было разрешено временно, сроком на один год, снять данные ограничения по заявке. В отношении компаний с высоким уровнем компетенций регулятор пообещал «рассмотреть и подготовить план полной отмены требований к изоляции сетей». В случае незначительных сбоев в работе вычислительных систем при установке обновлений безопасности FSC намеревалась «предусмотреть смягчение или освобождение от санкций при условии оперативного восстановления работы и защиты прав потребителей». Заместитель председателя Квон Дэён тогда заметил: «Угрозы безопасности, исходящие от высокопроизводительного ИИ, подобны вирусу простуды: от них нельзя полностью отгородиться, с ними приходится жить и учиться контролировать». Син Джинчхан 14-го числа подтвердил эту линию: «Мы продолжим более тщательно и динамично продвигать институциональные послабления, включая смягчение сетевой изоляции».

Поправки к «Правилам надзора за деятельностью в сфере кредитной информации», принятые на 18-м регулярном заседании комиссии 21-го числа, вступают в силу 23-го. Вместо прежней трехступенчатой шкалы базовых ставок штрафов (50%, 75% и 100%) введены непрерывные диапазоны: 1–30% за незначительные нарушения, 30–65% за серьезные и 65–100% за особо тяжкие. В качестве иллюстрации FSC привела гипотетическую компанию с выручкой 7 трлн вон и чистой прибылью 700 млрд вон. При «незначительной тяжести нарушения» (оценка тяжести 1,2 балла) базовый размер штрафа уменьшится в пять раз: со 105 млрд вон (при прежней ставке 50%) до 21 млрд вон (по ставке 10%). В случае с оценкой 2,5 балла по новым правилам при ставке 75% исчисляется 157,5 млрд вон, к которым прибавляется 25-процентная надбавка в 52,5 млрд вон, что дает прежнюю итоговую сумму в 210 млрд вон.

В FSC пояснили, что при повторном нарушении в течение трех лет или масштабной утечке данных, затронувшей более 10 млн человек, надбавка к базовому штрафу может достигать 100%. При этом перечень смягчающих обстоятельств расширился: теперь в него входят добровольное усиление защиты кредитной информации и оперативная реализация мер поддержки клиентов. Текущая утечка на 16 предприятиях, затронувшая около 100 000 записей, не дотягивает до порога отягчающего обстоятельства в 10 млн человек. Согласно статье 14 Общего закона об административном процессе, к прошлым нарушениям применяются действовавшие на тот момент нормы, но если новая редакция оказывается более благоприятной, допустимо применение обновленных правил. В комиссии подчеркнули, что публичное раскрытие критериев начисления штрафов повысило предсказуемость регулирования.

Формулировки о компенсации ущерба отступили от «контроля за полным возмещением» к «необходимости приложить все усилия»

Во время инцидента с Lotte Card в сентябре 2025 года в документах FSC в качестве принятой компанией меры фигурировало «полное предварительное возмещение при несанкционированном списании средств вследствие взлома», а регулятор брал на себя обязательство «тщательно контролировать и отслеживать» реализацию мер Lotte Card по защите потребителей, «включая полное возмещение возникших убытков». В межведомственной программе за октябрь того же года предлагалось «снизить бремя доказывания для граждан в случаях, когда взлом произошел из-за халатности компании», а также «рассмотреть создание фонда», финансируемого за счет штрафов, для оказания помощи пострадавшим.

В нынешнем инциденте риторика относительно возмещения ущерба стала заметно мягче. В материалах к заседанию 4 октября лишь констатировалось, что пострадавшим финансовым институтам «в случае подтверждения факта причинения ущерба потребителям необходимо приложить все усилия, чтобы своевременно предоставить гражданам детальную информацию и без задержек обеспечить компенсацию и восстановление нарушенных прав». В материалах от 14 октября, где был раскрыт факт взлома 16 компаний и утечки около 100 000 записей, слова «компенсация» и «возмещение ущерба» не упоминаются вовсе.

Главный упор надзорные органы сделали на предотвращение вторичного ущерба. 6 октября было опубликовано предупреждение для потребителей № 2026-26 уровня «внимание», а период в один месяц начиная с 6-го числа был объявлен «периодом экстренного реагирования на вторичный ущерб от утечки персональных данных». Финансовым учреждениям предписано организовать специализированные горячие линии и укрепить антифрод-системы (FDS). Регуляторы заявили: «К настоящему времени не зафиксировано ни одного случая списания средств клиентов вследствие телефонного мошенничества или иных действий, связанных с утечкой персональных данных». По информации властей, хотя в сеть попали номера регистрации граждан, пароли и одноразовые пароли (OTP) скомпрометированы не были.

Инструменты защиты, предложенные регуляторами, в основном требуют личной инициативы со стороны самих граждан. К услуге превентивной блокировки кредитных операций, дистанционного открытия счетов и сервисов открытого банкинга к концу августа подключились около 7 млн человек (с учетом возможных повторных подписок); регистрация в Системе предотвращения инцидентов для лиц с раскрытыми персональными данными на портале FSS FINE (fine.fss.or.kr) также носит заявительный характер. По данным властей, платформа обмена информацией о подозрительных операциях ASAP с момента запуска в октябре 2025 года по август 2026 года заблокировала платежи по 7666 подозрительным счетам, предотвратив ущерб на сумму порядка 69,94 млрд вон.

Источники (KST)

• Комиссия по финансовым услугам · 2026-10-14 · Для предотвращения повторения инцидентов в сфере безопасности финансового сектора мы комплексно укрепим систему управления финансовой безопасностью. Под председательством генерального секретаря Комиссии по финансовым услугам проведено «2-е экстренное совещание по реагированию на ситуацию» · https://www.fsc.go.kr/no010101/87927
• Комиссия по финансовым услугам · 2026-10-06 · Весь финансовый сектор проявит повышенную бдительность и ответит на угрозы безопасности. — Проведение совместного «Экстренного инспекционного совещания для всего финансового сектора» Комиссии по финансовым услугам и Службы финансового надзора под председательством главы Комиссии по финансовым услугам · https://www.fsc.go.kr/no010101/87876
• Комиссия по финансовым услугам · 2026-10-06 · Остерегайтесь ущерба от голосового фишинга, смишинга и других угроз в связи с недавней утечкой персональных данных в финансовом секторе. · https://www.fsc.go.kr/no010101/87882
• Комиссия по финансовым услугам · 2026-10-02 · Мы будем тщательно реагировать на недавние угрозы безопасности в финансовом секторе. — Проведение «Экстренного совещания по реагированию на ситуацию» под председательством генерального секретаря Комиссии по финансовым услугам · https://www.fsc.go.kr/no010101/87869
• Комиссия по финансовым услугам · 2026-10-21 · Значительно повышена предсказуемость наложения штрафов в соответствии с Законом о кредитной информации. — Одобрение поправок к «Правилам надзора за деятельностью в сфере кредитной информации» на 18-м очередном заседании Комиссии по финансовым услугам · https://www.fsc.go.kr/no010101/87973
• Комиссия по финансовым услугам · 2026-05-26 · Полномасштабный переход финансового сектора на ИИ! Ослабляя регулирование изоляции сетей в финансовой сфере, мы расширим инновации и еще больше укрепим безопасность. — Проведение «Совещания по реагированию на угрозы безопасности в финансовом секторе, связанные с высокопроизводительным ИИ» · https://www.fsc.go.kr/no010101/86972
• Правительственный брифинг Республики Корея (Министерство науки и ИКТ и другие профильные ведомства) · 2025-10-22 · Объявлены межведомственные меры по защите информации… расследование при наличии признаков взлома возможно даже без заявления компании · https://www.korea.kr/news/policyNewsView.do?newsId=148952831
• Комиссия по финансовым услугам · 2025-09-18 · Проведение экстренного совещания по мерам в связи с утечкой данных Lotte Card · https://www.fsc.go.kr/no010101/85319