El Instituto de Seguridad Financiera de Corea del Sur ha sufrido un ciberataque que expuso cientos de registros de empleados y documentos pertenecientes a decenas de empresas financieras, menos de dos semanas después de que el exchange de criptomonedas Bithumb reportara una brecha de seguridad separada.
Resumen
- El Instituto de Seguridad Financiera de Corea del Sur sufrió un ciberataque que expuso aproximadamente 300 registros de información personal pertenecientes principalmente a empleados de instituciones financieras.
- Según los informes, los hackers se hicieron pasar por un regulador financiero y explotaron una debilidad de autenticación para acceder a documentos asociados con decenas de empresas financieras.
- Los reguladores financieros y la policía han iniciado investigaciones sobre la brecha, mientras que el instituto ha bloqueado el acceso al sistema afectado.
- El incidente se produce después de una brecha de seguridad separada en el exchange de criptomonedas Bithumb en octubre y de una amenaza de hacking que llevó a GOPAX a suspender el comercio y los retiros en noviembre.
Según un informe del 11 de noviembre de Chosun Daily, los atacantes se hicieron pasar por un funcionario del Servicio de Supervisión Financiera (FSS) y explotaron debilidades en un sistema de autenticación para obtener acceso no autorizado a los registros del instituto.
El instituto, que ayuda a proteger a la industria financiera de Corea del Sur contra las ciberamenazas, descubrió la intrusión el 9 de noviembre y posteriormente bloqueó el acceso al sistema afectado.
Los hallazgos preliminares indican que la información asociada con más de 40 empresas financieras se vio comprometida, incluidos aproximadamente 300 registros de información personal que contenían nombres y fechas de nacimiento.
Los hackers se hicieron pasar por un regulador financiero para acceder a registros de seguridad
Los atacantes se dirigieron al Sistema de Apoyo a la Evaluación Continua del instituto, una plataforma en línea utilizada por las empresas financieras para presentar documentos y someterse a evaluaciones de seguridad de la información.
Los investigadores descubrieron que los hackers habían explotado una página de acceso temporal destinada a situaciones en las que la autenticación por SMS no estaba disponible.
La ruta de acceso alternativa no requería el mismo proceso de verificación, lo que permitió a los atacantes entrar en el sistema a través de una cuenta que parecía pertenecer al FSS.
Según el informe, los atacantes utilizaron más de 100 direcciones IP diferentes durante la intrusión, cambiando frecuentemente sus conexiones para evitar la detección.
Un funcionario del instituto explicó que acceder repetidamente a un sistema desde la misma dirección puede dejar rastros identificables, lo que podría explicar por qué los atacantes seguían cambiando de dirección.
Según los informes, la cuenta comprometida tenía permisos asociados con los reguladores financieros, que pueden revisar la información presentada por múltiples instituciones. Las empresas financieras ordinarias, en comparación, solo pueden acceder a sus propios registros.
Los investigadores están examinando cómo la cuenta fraudulenta recibió esos permisos y si la excepción de autenticación se gestionó adecuadamente.
El material expuesto incluía aproximadamente 200 formularios administrativos, más de 300 registros de información personal y alrededor de 350 registros de usuarios del sistema que contenían nombres y números de teléfono parcialmente enmascarados.
La mayor parte de la información personal afectada pertenecía a empleados responsables de las evaluaciones de seguridad en las instituciones financieras.
El instituto dijo que la plataforma comprometida no almacenaba configuraciones de red sensibles, resultados de evaluaciones de vulnerabilidad ni información crediticia personal de los clientes.
Corea del Sur investiga una brecha que afecta a decenas de empresas financieras
Tras el descubrimiento, el instituto reportó el incidente a la Comisión de Servicios Financieros y a la Agencia de Internet y Seguridad de Corea.
Las empresas financieras afectadas fueron notificadas individualmente, mientras que el instituto comenzó los preparativos para informar a los empleados cuya información personal había sido expuesta.
Las autoridades iniciaron una investigación sobre el ataque, y la policía recibió información técnica, incluidas las direcciones IP asociadas con la intrusión, el 10 de noviembre.
Los reguladores financieros comenzaron una inspección in situ al día siguiente para examinar las medidas de seguridad del instituto y determinar cómo los atacantes obtuvieron acceso.
El instituto ha declarado que revisará sus procedimientos de gestión de seguridad y proporcionará compensación si se producen daños adicionales como resultado de la información expuesta.
El incidente se produce tras varios problemas de ciberseguridad en la industria financiera de Corea del Sur, incluidos ataques relacionados con intercambios de criptomonedas.
En octubre, los reguladores identificaron incidentes de seguridad en 16 instituciones financieras, incluidas dos empresas de criptomonedas, mientras que se informó que aproximadamente 100.000 registros de clientes quedaron expuestos.
Posteriormente, una revisión de toda la industria identificó debilidades de seguridad en 130 de las 555 empresas financieras examinadas.
Bithumb y GOPAX enfrentaron incidentes de seguridad separados
El último ataque se produce tras un incidente del 27 de octubre en Bithumb, donde una parte no autorizada accedió al sistema interno de groupware móvil del intercambio de criptomonedas utilizado para las comunicaciones de los empleados.
Como crypto.news informó anteriormente, Bithumb confirmó que la información de los empleados había quedado expuesta y comenzó a investigar si se incluían registros de clientes.
El intercambio sostuvo que el sistema comprometido operaba de forma separada de su infraestructura de negociación y no podía utilizarse para acceder a las tenencias de criptomonedas de los clientes.
Durante el mismo período, Daishin Securities reveló que la información personal y crediticia perteneciente a 38.490 clientes había quedado expuesta, mientras que Mirae Asset Global Investments informó sobre acceso no autorizado a ciertos sistemas.
Más recientemente, el intercambio surcoreano GOPAX suspendió las operaciones y los retiros el 6 de noviembre después de recibir un correo electrónico que amenazaba con un ciberataque.
GOPAX declaró que no había detectado una intrusión real ni un robo de criptomonedas cuando se introdujeron las restricciones.
La Comisión de Servicios Financieros había instruido por separado a los intercambios de criptomonedas nacionales a reforzar los controles de acceso de administradores, los procedimientos de aprobación de retiros y la monitorización de transacciones tras el hackeo de Binance del 29 de octubre.
Según las normas vigentes en Corea del Sur, los intercambios deben mantener al menos el 80% de los activos de criptomonedas de los clientes en almacenamiento en frío.
A finales de septiembre, Bithumb mantenía el 94,76% de los activos de los clientes fuera de línea, mientras que GOPAX reportó una proporción del 80,54%.
