A Coreia do Sul propôs regras mais rigorosas de segurança cibernética para bancos, empresas de criptomoedas e outras empresas financeiras após confirmar incidentes de segurança em 16 instituições, aproximadamente 100.000 registros de clientes expostos e vulnerabilidades em 130 de 555 empresas analisadas até 14 de outubro.
Resumo
- A Coreia do Sul confirmou violações em 16 empresas financeiras, incluindo duas empresas de criptomoedas, após recentes ataques cibernéticos.
- Os reguladores financeiros encontraram vulnerabilidades de segurança em 130 de 555 empresas durante uma revisão de lista de verificação em toda a indústria.
- As autoridades estimaram que aproximadamente 100.000 registros de clientes foram expostos, incluindo nomes, detalhes de contato e números de identificação.
- Instituições financeiras maiores podem enfrentar verificações de vulnerabilidade duas vezes por ano sob as reformas de segurança cibernética propostas pela Coreia do Sul.
- Os investigadores não estabeleceram se a inteligência artificial facilitou os ataques ou se os mesmos perpetradores visaram as empresas.
A Comissão de Serviços Financeiros (FSC) anunciou as propostas após sua segunda reunião de resposta de emergência em Seul, onde autoridades revisaram os ataques recentes e os resultados de uma inspeção de segurança em toda a indústria. As mudanças planejadas incluem avaliações de vulnerabilidade mais frequentes, melhor monitoramento de ameaças e responsabilidade mais clara para executivos de empresas.
Coreia do Sul encontra problemas de segurança em 130 empresas
A FSC concluiu uma revisão de 555 empresas financeiras usando uma lista de verificação de segurança cibernética de 12 pontos até 8 de outubro. Dessas empresas, 425 relataram que suas medidas de segurança atendiam aos requisitos da lista de verificação, enquanto 130 identificaram problemas que exigiam correção.
O regulador disse que a maioria das empresas afetadas precisava de melhorias em uma ou duas áreas. Falhas comuns incluíam software de segurança desatualizado, sistemas de monitoramento fracos e proteção insuficiente para sistemas de computador acessíveis externamente.
Algumas empresas não haviam instalado as atualizações de segurança mais recentes. Outras continuaram operando sistemas que os fabricantes não suportavam mais, deixando-as sem manutenção de segurança regular.
A inspeção descobriu que certas empresas careciam de monitoramento de segurança contínuo. As autoridades identificaram vulnerabilidades nos controles de acesso, incluindo casos em que sistemas importantes não usavam procedimentos de autenticação aprimorados, como autenticação multifator.
Provedores de serviços financeiros eletrônicos e empresas de empréstimos online relataram um número relativamente alto de deficiências. A FSC atribuiu o padrão em parte aos recursos mais limitados de segurança cibernética desses setores.
As empresas que identificaram vulnerabilidades enviaram planos para corrigi-las. As medidas incluíram instalação de atualizações de segurança, substituição de equipamentos obsoletos, expansão da equipe de monitoramento e restrição de acesso a sistemas sensíveis.
O regulador disse que as empresas afetadas começaram a implementar medidas corretivas após a revisão.
Importante, as 130 empresas com deficiências de segurança não foram todas identificadas como vítimas de hacking. A FSC confirmou separadamente incidentes de segurança reais em 16 empresas financeiras.
Empresas de criptomoedas nomeadas entre as 16 empresas afetadas
A investigação identificou incidentes envolvendo quatro bancos comerciais, quatro bancos de poupança, empresas de empréstimos, provedores de serviços financeiros eletrônicos, empresas de investimento online e dois operadores de serviços de criptomoedas.
Entre as empresas de ativos digitais afetadas estavam a Streami, que opera a exchange de criptomoedas Gopax, e a Prabang, identificada como provedora de serviços de ativos virtuais no anúncio da FSC.
As instituições bancárias incluíam o Shinhan Bank, o KB Kookmin Bank, o Busan Bank e o Hana Bank. Os bancos de poupança eram Yegaram, Welcome, DB e OK.
Outras empresas afetadas incluíam Hyundai Capital, KDB Capital, PFCT, Mouda e a Federação Coreana de Cooperativas de Crédito Comunitário.
A FSC estimou que aproximadamente 100.000 informações de clientes foram expostas nos incidentes confirmados.
Os registros comprometidos incluíam nomes, números de telefone, endereços de e-mail e números de registro de residente sul-coreano.
No entanto, a comissão disse que os investigadores não confirmaram a exposição de senhas de contas ou números de cartões de pagamento que poderiam diretamente permitir transações não autorizadas.
Após os incidentes, os reguladores instruíram as empresas afetadas a bloquear endereços IP associados a atividades suspeitas, aplicar patches de segurança e suspender serviços vulneráveis quando necessário.
Os clientes cujas informações foram expostas deveriam receber notificação e orientação sobre medidas de proteção.
O Serviço de Supervisão Financeira e o Instituto de Segurança Financeira continuam examinando como os atacantes entraram nos sistemas afetados. Os investigadores estão comparando evidências técnicas entre os incidentes para determinar se os mesmos indivíduos ou grupos foram responsáveis.
As autoridades não estabeleceram se a inteligência artificial desempenhou um papel nos ataques.
Empresas de criptomoedas da Coreia do Sul já enfrentaram investigações de segurança separadas anteriormente. Em julho, o Serviço de Supervisão Financeira iniciou procedimentos de sanção contra a Dunamu, operadora da Upbit, por uma violação anterior de carteira.
Ainvestigação regulatória sobre o hack da Upbit em novembro de 2025 dizia respeito às responsabilidades de segurança da exchange e à conformidade com as leis existentes de proteção de ativos virtuais.
Esse processo diz respeito a um incidente diferente e não foi vinculado pela FSC ao mais recente grupo de ataques ao setor financeiro.
Coreia do Sul propõe verificações de segurança cibernética semestrais
Após os resultados da inspeção, a FSC delineou planos para aumentar a frequência das avaliações de segurança cibernética, começando pelas grandes instituições financeiras.
As regulamentações financeiras atuais geralmente exigem avaliações de vulnerabilidade uma vez por ano, com verificações semestrais já aplicadas a sites externos.
As reformas propostas estenderiam as avaliações para pelo menos duas vezes ao ano para instituições maiores com extensas conexões externas e bases de clientes.
Os reguladores pretendem tornar os pontos de acesso externos importantes alvos de inspeção obrigatórios. As autoridades estão considerando exames de segurança adicionais fora das revisões programadas quando surgirem ameaças urgentes.
A comissão planeja uma revisão mais detalhada dos sistemas das instituições financeiras, abrangendo conexões externas, procedimentos de autenticação e controles internos.
De acordo com os arranjos propostos, as empresas precisariam de registros mais claros de como os sistemas externos se conectam às suas redes e quais funcionários ou serviços podem acessar informações sensíveis.
A FSC quer responsabilidades divididas mais claramente entre diretores executivos, diretores de segurança da informação e diretores de informação.
Os reguladores estão revisando maneiras de fortalecer a responsabilização quando as empresas não implementam as medidas de segurança exigidas ou ignoram as recomendações após as inspeções.
A comissão não anunciou uma data final de implementação para os requisitos propostos de avaliação semestral.
Os detalhes do cronograma de inspeção e as instituições abrangidas serão definidos por meio de novas consultas com representantes do setor financeiro.
Regulador financeiro planeja novas ferramentas de segurança de IA
Além das inspeções obrigatórias, a FSC planeja melhorar a forma como as instituições financeiras relatam suspeitas de ataques cibernéticos.
Atualmente, o Serviço de Supervisão Financeira e o Instituto de Segurança Financeira distribuem informações sobre ameaças às empresas por meio de uma plataforma de monitoramento integrada conhecida como FIRST.
No entanto, as informações identificadas por instituições financeiras individuais por meio de seus próprios sistemas de monitoramento não são compartilhadas de forma consistente em todo o setor.
O regulador quer expandir o sistema para que as empresas possam relatar ameaças recém-identificadas e ajudar outras empresas a responder antes que ataques semelhantes se espalhem.
As autoridades estão preparando uma estrutura de monitoramento de ameaças baseada em IA que classificaria a gravidade dos riscos detectados e forneceria informações às instituições financeiras.
A FSC está considerando ferramentas de IA capazes de testar sistemas de computador expostos externamente, código de software interno e aplicativos móveis em busca de vulnerabilidades.
Empresas menores poderiam receber suporte por meio de um serviço de monitoramento compartilhado baseado em IA desenvolvido com associações do setor financeiro.
O Instituto de Segurança Financeira examinará o serviço proposto e preparará orientações de segurança adaptadas a empresas com recursos técnicos limitados.
Na reunião de 14 de outubro, o Secretário-Geral da FSC, Shin Jin-chang, criticou as empresas financeiras que não cumpriram os requisitos básicos de segurança cibernética, apesar dos repetidos alertas.
Ele disse que foi “muito doloroso” descobrir deficiências depois que incidentes anteriores de segurança financeira haviam provocado apelos por controles mais rigorosos.
Shin pediu melhorias abrangendo conexões externas, procedimentos de autenticação, sistemas de monitoramento e responsabilidade dos executivos.
Ele disse que o regulador buscaria um sistema destinado a “defender-se contra ataques de IA com IA”.
As autoridades já haviam alertado os clientes sobre golpes
Antes de anunciar as últimas propostas, os reguladores sul-coreanos emitiram um alerta ao consumidor sobre o possível uso indevido de informações roubadas durante violações no setor financeiro.
Em 6 de outubro, a FSC e o Serviço de Supervisão Financeira emitiram um aviso de cautela de Nível I alertando os clientes sobre ataques de phishing e pedidos fraudulentos de empréstimos.
As agências estabeleceram um período especial de resposta de um mês, com início em 6 de outubro.
Durante esse período, as empresas financeiras foram instruídas a fornecer assistência aos clientes afetados e a reforçar o monitoramento de aberturas de contas suspeitas, pedidos de empréstimos e transferências de grande valor.
As autoridades orientaram as empresas a usar a Plataforma de Compartilhamento e Análise antifraude baseada em IA, conhecida como ASAP, para distribuir informações sobre suspeitas de fraude.
O regulador disse que as empresas deveriam solicitar verificação adicional de identidade quando atividades suspeitas envolvessem informações de clientes potencialmente roubadas.
Na época do aviso de 6 de outubro, as autoridades não haviam confirmado perdas financeiras causadas por phishing ou transferências não autorizadas usando informações expostas nas recentes violações.
As agências disseram que elevariam o alerta ao consumidor do Nível I para o Nível II se danos financeiros subsequentes envolvendo informações roubadas fossem confirmados.
