L’Institut de sécurité financière de Corée du Sud a subi une cyberattaque qui a exposé des centaines de dossiers et documents d’employés appartenant à des dizaines d’entreprises financières, moins de deux semaines après que la plateforme d’échange de cryptomonnaies Bithumb a signalé une autre violation de sécurité.
Résumé
- L’Institut de sécurité financière de Corée du Sud a subi une cyberattaque qui a exposé environ 300 enregistrements d’informations personnelles appartenant principalement à des employés d’institutions financières.
- Les pirates informatiques se seraient fait passer pour un régulateur financier et ont exploité une faiblesse d’authentification pour accéder à des documents associés à des dizaines d’entreprises financières.
- Les régulateurs financiers et la police ont lancé des enquêtes sur la violation, tandis que l’institut a bloqué l’accès au système concerné.
- L’incident fait suite à une autre violation de sécurité sur la plateforme d’échange de cryptomonnaies Bithumb en octobre et à une menace de piratage qui a poussé GOPAX à suspendre les transactions et les retraits en novembre.
Selon un rapport du Chosun Daily du 11 novembre, les attaquants se sont fait passer pour un responsable du Service de surveillance financière (FSS) et ont exploité des faiblesses dans un système d’authentification pour obtenir un accès non autorisé aux dossiers de l’institut.
L’institut, qui aide à protéger le secteur financier sud-coréen contre les cybermenaces, a découvert l’intrusion le 9 novembre et a ensuite bloqué l’accès au système concerné.
Les conclusions préliminaires indiquent que des informations associées à plus de 40 entreprises financières ont été compromises, notamment environ 300 enregistrements d’informations personnelles contenant des noms et des dates de naissance.
Les pirates se sont fait passer pour un régulateur financier afin d’accéder aux dossiers de sécurité
Les attaquants ont ciblé le système de soutien à l’évaluation continue de l’institut, une plateforme en ligne utilisée par les entreprises financières pour soumettre des documents et faire l’objet d’évaluations de sécurité de l’information.
Les enquêteurs ont découvert que les pirates avaient exploité une page d’accès temporaire destinée aux situations où l’authentification par SMS n’était pas disponible.
La voie d’accès alternative n’exigeait pas le même processus de vérification, ce qui a permis aux attaquants d’entrer dans le système via un compte qui semblait appartenir au FSS.
Selon le rapport, les attaquants ont utilisé plus de 100 adresses IP différentes lors de l’intrusion, changeant fréquemment leurs connexions pour éviter d’être détectés.
Un responsable de l’institut a expliqué que l’accès répété à un système depuis la même adresse peut laisser des traces identifiables, ce qui pourrait expliquer pourquoi les attaquants changeaient constamment d’adresse.
Le compte compromis aurait disposé de permissions associées aux régulateurs financiers, qui peuvent examiner les informations soumises par plusieurs institutions. Les entreprises financières ordinaires, en comparaison, ne peuvent accéder qu’à leurs propres dossiers.
Les enquêteurs examinent comment le compte frauduleux a obtenu ces permissions et si l’exception d’authentification a été correctement gérée.
Les éléments exposés comprenaient environ 200 formulaires administratifs, plus de 300 enregistrements d’informations personnelles et environ 350 enregistrements d’utilisateurs du système contenant des noms et des numéros de téléphone partiellement masqués.
La plupart des informations personnelles concernées appartenaient à des employés chargés des évaluations de sécurité au sein des institutions financières.
L’institut a déclaré que la plateforme compromise ne stockait pas de configurations réseau sensibles, de résultats d’évaluation des vulnérabilités ni d’informations de crédit personnelles des clients.
La Corée du Sud enquête sur une violation affectant des dizaines d’entreprises financières
Après la découverte, l’institut a signalé l’incident à la Commission des services financiers et à l’Agence coréenne de l’Internet et de la sécurité.
Les entreprises financières concernées ont été notifiées individuellement, tandis que l’institut a commencé à préparer l’information des employés dont les informations personnelles avaient été exposées.
Les autorités ont lancé une enquête sur l’attaque, la police ayant reçu des informations techniques, notamment des adresses IP associées à l’intrusion, le 10 novembre.
Les régulateurs financiers ont entamé une inspection sur site le lendemain afin d’examiner les dispositifs de sécurité de l’institut et de déterminer comment les attaquants ont obtenu l’accès.
L'institut a déclaré qu'il examinerait ses procédures de gestion de la sécurité et fournirait une compensation si des dommages supplémentaires résultaient des informations exposées.
L'incident fait suite à plusieurs problèmes de cybersécurité dans l'industrie financière sud-coréenne, notamment des attaques impliquant des plateformes d'échange de cryptomonnaies.
En octobre, les régulateurs ont identifié des incidents de sécurité dans 16 institutions financières, dont deux entreprises de cryptomonnaies, tandis qu'environ 100 000 dossiers clients auraient été exposés.
Un examen à l'échelle du secteur a ensuite identifié des faiblesses de sécurité dans 130 des 555 entreprises financières examinées.
Bithumb et GOPAX ont fait face à des incidents de sécurité distincts
La dernière attaque fait suite à un incident survenu le 27 octobre chez Bithumb, où une partie non autorisée a accédé au système de groupware mobile interne de la plateforme d'échange de cryptomonnaies utilisé pour les communications entre employés.
Comme crypto.news l'a précédemment rapporté, Bithumb a confirmé que des informations sur les employés avaient été exposées et a commencé à enquêter pour déterminer si des dossiers clients étaient inclus.
La plateforme d'échange a maintenu que le système compromis fonctionnait séparément de son infrastructure de trading et ne pouvait pas être utilisé pour accéder aux avoirs en cryptomonnaies des clients.
Au cours de la même période, Daishin Securities a divulgué que des informations personnelles et de crédit appartenant à 38 490 clients avaient été exposées, tandis que Mirae Asset Global Investments a signalé un accès non autorisé à certains systèmes.
Plus récemment, la plateforme d'échange sud-coréenne GOPAX a suspendu les transactions et les retraits le 6 novembre après avoir reçu un courriel menaçant d'une cyberattaque.
GOPAX a déclaré n'avoir détecté aucune intrusion réelle ni vol de cryptomonnaies au moment de l'introduction des restrictions.
La Commission des services financiers avait séparément demandé aux plateformes d'échange de cryptomonnaies nationales de renforcer les contrôles d'accès des administrateurs, les procédures d'approbation des retraits et la surveillance des transactions à la suite du piratage de Binance du 29 octobre.
Selon les règles existantes en Corée du Sud, les plateformes d'échange doivent conserver au moins 80 % des actifs en cryptomonnaies des clients en stockage à froid.
À la fin du mois de septembre, Bithumb détenait 94,76 % des actifs clients hors ligne, tandis que GOPAX rapportait un ratio de 80,54 %.
