Corea del Sur ha propuesto normas de ciberseguridad más estrictas para bancos, empresas de criptomonedas y otras compañías financieras tras confirmar incidentes de seguridad en 16 instituciones, aproximadamente 100.000 registros de clientes expuestos y debilidades en 130 de 555 empresas revisadas hasta el 14 de octubre.
Resumen
- Corea del Sur confirmó brechas en 16 compañías financieras, incluidas dos empresas de criptomonedas, tras recientes ciberataques.
- Los reguladores financieros encontraron debilidades de seguridad en 130 de 555 empresas durante una revisión de lista de verificación en toda la industria.
- Las autoridades estimaron que aproximadamente 100.000 registros de clientes quedaron expuestos, incluidos nombres, datos de contacto y números de identificación.
- Las instituciones financieras más grandes podrían enfrentar verificaciones de vulnerabilidad dos veces al año bajo las reformas de ciberseguridad propuestas por Corea del Sur.
- Los investigadores no han establecido si la inteligencia artificial facilitó los ataques o si los mismos perpetradores atacaron a las empresas.
La Comisión de Servicios Financieros (FSC) anunció las propuestas tras su segunda reunión de respuesta de emergencia en Seúl, donde los funcionarios revisaron los recientes ataques y los resultados de una inspección de seguridad en toda la industria. Los cambios planificados incluyen evaluaciones de vulnerabilidad más frecuentes, mejor monitoreo de amenazas y una responsabilidad más clara para los ejecutivos de las empresas.
Corea del Sur encuentra problemas de seguridad en 130 empresas
La FSC completó una revisión de 555 compañías financieras utilizando una lista de verificación de ciberseguridad de 12 puntos antes del 8 de octubre. De esas empresas, 425 informaron que sus medidas de seguridad cumplían con los requisitos de la lista de verificación, mientras que 130 identificaron problemas que requerían corrección.
El regulador dijo que la mayoría de las empresas afectadas necesitaban mejoras en una o dos áreas. Las fallas comunes incluían software de seguridad desactualizado, sistemas de monitoreo débiles y protección insuficiente para sistemas informáticos accesibles externamente.
Algunas empresas no habían instalado las últimas actualizaciones de seguridad. Otras seguían operando sistemas que los fabricantes ya no soportaban, dejándolos sin mantenimiento de seguridad regular.
La inspección encontró que ciertas empresas carecían de monitoreo de seguridad continuo. Las autoridades identificaron debilidades en los controles de acceso, incluidos casos en los que sistemas importantes no utilizaban procedimientos de autenticación mejorados, como la autenticación multifactor.
Los proveedores de servicios financieros electrónicos y las empresas de préstamos en línea reportaron un número relativamente alto de deficiencias. La FSC atribuyó el patrón en parte a los recursos de ciberseguridad más limitados de esos sectores.
Las empresas que identificaron debilidades presentaron planes para corregirlas. Las medidas incluían instalar actualizaciones de seguridad, reemplazar equipos obsoletos, ampliar el personal de monitoreo y restringir el acceso a sistemas sensibles.
El regulador dijo que las empresas afectadas habían comenzado a implementar medidas correctivas tras la revisión.
Es importante destacar que las 130 empresas con deficiencias de seguridad no fueron todas identificadas como víctimas de piratería. La FSC confirmó por separado incidentes de seguridad reales en 16 negocios financieros.
Empresas de criptomonedas nombradas entre los 16 negocios afectados
La investigación identificó incidentes que involucraban a cuatro bancos comerciales, cuatro bancos de ahorro, compañías de préstamos, proveedores de servicios financieros electrónicos, negocios de inversión en línea y dos operadores de servicios de criptomonedas.
Entre los negocios de activos digitales afectados estaban Streami, que opera el exchange de criptomonedas Gopax, y Prabang, identificado como un proveedor de servicios de activos virtuales en el anuncio de la FSC.
Las instituciones bancarias incluían Shinhan Bank, KB Kookmin Bank, Busan Bank y Hana Bank. Los bancos de ahorro eran Yegaram, Welcome, DB y OK.
Otros negocios afectados incluían Hyundai Capital, KDB Capital, PFCT, Mouda y la Federación de Cooperativas de Crédito Comunitarias de Corea.
La FSC estimó que aproximadamente 100.000 piezas de información de clientes habían quedado expuestas en los incidentes confirmados.
Los registros comprometidos incluían nombres, números de teléfono, direcciones de correo electrónico y números de registro de residentes de Corea del Sur.
Sin embargo, la comisión dijo que los investigadores no habían confirmado la exposición de contraseñas de cuentas o números de tarjetas de pago que pudieran permitir directamente transacciones no autorizadas.
Tras los incidentes, los reguladores instruyeron a las empresas afectadas a bloquear las direcciones IP asociadas con actividad sospechosa, aplicar parches de seguridad y suspender los servicios vulnerables cuando fuera necesario.
Los clientes cuya información había quedado expuesta debían recibir notificación y orientación sobre medidas de protección.
El Servicio de Supervisión Financiera y el Instituto de Seguridad Financiera continúan examinando cómo los atacantes entraron en los sistemas afectados. Los investigadores están comparando pruebas técnicas entre incidentes para determinar si los mismos individuos o grupos fueron responsables.
Las autoridades no han establecido si la inteligencia artificial desempeñó un papel en los ataques.
Las empresas de criptomonedas de Corea del Sur se han enfrentado antes a investigaciones de seguridad separadas. En julio, el Servicio de Supervisión Financiera inició procedimientos sancionadores contra Dunamu, el operador de Upbit, por una brecha anterior en la cartera.
Lainvestigación regulatoria sobre el hackeo de Upbit de noviembre de 2025 concernía las responsabilidades de seguridad del exchange y el cumplimiento de las leyes existentes de protección de activos virtuales.
Ese procedimiento se refiere a un incidente diferente y no ha sido vinculado por la FSC con el último grupo de ataques al sector financiero.
Corea del Sur propone controles de ciberseguridad dos veces al año
Tras los resultados de la inspección, la FSC esbozó planes para aumentar la frecuencia de las evaluaciones de ciberseguridad, comenzando con las grandes instituciones financieras.
Las regulaciones financieras actuales generalmente requieren evaluaciones de vulnerabilidad una vez al año, con controles dos veces al año que ya se aplican a los sitios web externos.
Las reformas propuestas extenderían las evaluaciones a al menos dos veces al año para las instituciones más grandes con amplias conexiones externas y bases de clientes.
Los reguladores tienen la intención de hacer que los puntos de acceso externos importantes sean objetivos de inspección obligatorios. Las autoridades están considerando exámenes de seguridad adicionales fuera de las revisiones programadas cuando surjan amenazas urgentes.
La comisión planea una revisión más detallada de los sistemas de las instituciones financieras, abarcando conexiones externas, procedimientos de autenticación y controles internos.
Según los arreglos propuestos, las empresas necesitarían registros más claros de cómo los sistemas externos se conectan a sus redes y qué empleados o servicios pueden acceder a información sensible.
La FSC quiere que las responsabilidades se dividan más claramente entre los directores ejecutivos, los directores de seguridad de la información y los directores de información.
Los reguladores están revisando formas de fortalecer la rendición de cuentas cuando las empresas no implementan las medidas de seguridad requeridas o ignoran las recomendaciones tras las inspecciones.
La comisión no anunció una fecha de implementación final para los requisitos propuestos de evaluación dos veces al año.
Los detalles del calendario de inspección y las instituciones cubiertas se resolverán mediante consultas adicionales con representantes de la industria financiera.
El regulador financiero planea nuevas herramientas de seguridad de IA
Más allá de las inspecciones obligatorias, la FSC planea mejorar cómo las instituciones financieras reportan presuntos ciberataques.
Actualmente, el Servicio de Supervisión Financiera y el Instituto de Seguridad Financiera distribuyen información sobre amenazas a las empresas a través de una plataforma de monitoreo integrada conocida como FIRST.
Sin embargo, la información identificada por instituciones financieras individuales a través de sus propios sistemas de monitoreo no se comparte de manera consistente en toda la industria.
El regulador quiere ampliar el sistema para que las empresas puedan reportar amenazas recién identificadas y ayudar a otras empresas a responder antes de que ataques similares se propaguen.
Las autoridades están preparando un marco de monitoreo de amenazas basado en IA que clasificaría la gravedad de los riesgos detectados y proporcionaría información a las instituciones financieras.
La FSC está considerando herramientas de IA capaces de probar sistemas informáticos expuestos externamente, código de software interno y aplicaciones móviles en busca de vulnerabilidades.
Las empresas más pequeñas podrían recibir apoyo a través de un servicio de monitoreo compartido basado en IA desarrollado con asociaciones de la industria financiera.
El Instituto de Seguridad Financiera examinará el servicio propuesto y preparará orientación de seguridad adaptada a empresas con recursos técnicos limitados.
En la reunión del 14 de octubre, el secretario general de la FSC, Shin Jin-chang, criticó a las empresas financieras que no habían cumplido con los requisitos básicos de ciberseguridad a pesar de las repetidas advertencias.
Dijo que era "muy doloroso" descubrir deficiencias después de que incidentes previos de seguridad financiera habían provocado llamados a controles más estrictos.
Shin pidió mejoras que abarcaran conexiones externas, procedimientos de autenticación, sistemas de monitoreo y responsabilidad de los ejecutivos.
Dijo que el regulador impulsaría un sistema destinado a "defenderse de los ataques de IA con IA".
Las autoridades ya habían advertido a los clientes sobre las estafas
Antes de anunciar las últimas propuestas, los reguladores surcoreanos emitieron una alerta al consumidor sobre el posible uso indebido de información robada durante las brechas en el sector financiero.
El 6 de octubre, la FSC y el Servicio de Supervisión Financiera emitieron un aviso de precaución de Nivel I advirtiendo a los clientes sobre ataques de phishing y solicitudes de préstamos fraudulentas.
Las agencias establecieron un período de respuesta especial de un mes a partir del 6 de octubre.
Durante ese período, se instruyó a las empresas financieras a brindar asistencia a los clientes afectados y reforzar la vigilancia de aperturas de cuentas sospechosas, solicitudes de préstamos y transferencias grandes.
Las autoridades ordenaron a las firmas utilizar la Plataforma de Intercambio y Análisis contra el phishing basada en IA, conocida como ASAP, para distribuir información sobre presuntos fraudes.
El regulador dijo que las empresas deberían solicitar verificación de identidad adicional cuando la actividad sospechosa involucrara información de clientes potencialmente robada.
En el momento del aviso del 6 de octubre, las autoridades no habían confirmado pérdidas financieras causadas por phishing o transferencias no autorizadas utilizando información expuesta en las brechas recientes.
Las agencias dijeron que elevarían la alerta al consumidor del Nivel I al Nivel II si se confirmaba daño financiero posterior que involucrara información robada.
