韩国在确认16家机构发生安全事件、约10万条客户记录泄露，以及截至10月14日审查的555家公司中有130家存在弱点后，提议对银行、加密货币企业和其他金融公司实施更严格的网络安全规则。
摘要
- 在近期网络攻击后，韩国确认16家金融公司发生泄露，其中包括两家加密货币企业。
- 金融监管机构在对全行业进行清单审查时，发现555家公司中有130家存在安全弱点。
- 当局估计约有10万条客户记录被泄露，包括姓名、联系方式和身份证号码。
- 根据韩国拟议的网络安全改革，大型金融机构可能每年接受两次漏洞检查。
- 调查人员尚未确定人工智能是否协助了攻击，或是否为同一批作案者针对这些公司。
金融服务委员会（FSC）在首尔举行第二次紧急应对会议后宣布了这些提议，会上官员审查了近期攻击以及全行业安全检查的结果。计划中的变化包括更频繁的漏洞评估、改进威胁监测以及更明确的公司高管责任。
韩国发现130家公司存在安全问题
FSC在10月8日前使用12点网络安全清单完成了对555家金融公司的审查。在这些企业中，425家报告其安全措施符合清单要求，而130家发现了需要纠正的问题。
监管机构表示，大多数受影响公司需要在一到两个方面进行改进。常见问题包括安全软件过时、监控系统薄弱以及对外部可访问计算机系统的保护不足。
一些公司未安装最新的安全更新。其他公司继续运行制造商不再支持的操作系统，导致其无法获得定期安全维护。
检查发现，某些企业缺乏持续的安全监控。当局发现了访问控制方面的弱点，包括重要系统未使用多因素认证等增强认证程序的情况。
电子金融服务提供商和在线贷款企业报告的缺陷数量相对较高。FSC将这一模式部分归因于这些行业的网络安全资源更为有限。
发现弱点的公司提交了纠正计划。措施包括安装安全更新、更换过时设备、扩充监控人员以及限制对敏感系统的访问。
监管机构表示，受影响公司在审查后已开始实施纠正措施。
重要的是，这130家存在安全缺陷的公司并非都被认定为黑客攻击受害者。FSC另行确认了16家金融企业的实际安全事件。
加密货币公司被列入16家受影响企业
调查确认了涉及四家商业银行、四家储蓄银行、贷款公司、电子金融服务提供商、在线投资企业以及两家加密货币服务运营商的事件。
受影响的数字资产企业包括运营Gopax加密货币交易所的Streami，以及FSC公告中认定为虚拟资产服务提供商的Prabang。
银行机构包括新韩银行、KB国民银行、釜山银行和韩亚银行。储蓄银行包括Yegaram、Welcome、DB和OK。
其他受影响企业包括现代资本、KDB资本、PFCT、Mouda和韩国社区信用合作社联合会。
FSC估计，在已确认的事件中，约有10万条客户信息被泄露。
被泄露的记录包括姓名、电话号码、电子邮件地址和韩国居民登记号码。
然而，该委员会表示，调查人员尚未确认账户密码或支付卡号码等可直接导致未经授权交易的信息的泄露。
事件发生后，监管机构指示受影响的公司封锁与可疑活动相关的IP地址，应用安全补丁，并在必要时暂停存在漏洞的服务。
信息遭到泄露的客户将收到通知以及有关保护措施的指导。
金融监督院和金融安全院正在继续调查攻击者是如何进入受影响系统的。调查人员正在比对各起事件的技术证据，以确定是否为同一批个人或团体所为。
当局尚未确定人工智能是否在这些攻击中发挥了作用。
韩国加密货币企业此前曾面临其他安全调查。7月，金融监督院就早前的一起钱包泄露事件，对Upbit的运营商Dunamu启动了制裁程序。
针对Upbit 2025年11月黑客事件的监管调查涉及该交易所的安全责任以及是否遵守现行虚拟资产保护法律。
该程序涉及的是另一起事件，金融委员会并未将其与最新一批金融行业攻击事件联系起来。
韩国提议每年进行两次网络安全检查
根据检查结果，金融委员会制定了提高网络安全评估频率的计划，首先从大型金融机构开始。
现行金融法规通常要求每年进行一次漏洞评估，而外部网站已适用每年两次的检查。
拟议的改革将把评估范围扩大到至少每年两次，适用于拥有大量外部连接和客户基础的大型机构。
监管机构打算将重要的外部访问点列为强制检查目标。当局正在考虑在出现紧急威胁时，在既定审查之外进行额外的安全检查。
该委员会计划对金融机构的系统进行更详细的审查，涵盖外部连接、身份验证程序和内部控制。
根据拟议安排，公司需要更清晰地记录外部系统如何连接到其网络，以及哪些员工或服务可以访问敏感信息。
金融委员会希望更明确地划分首席执行官、首席信息安全官和首席信息官之间的职责。
监管机构正在审查相关方式，以在企业未能实施所需安全措施或无视检查后建议时加强问责。
该委员会尚未宣布拟议的每年两次评估要求的最终实施日期。
检查时间表及所涵盖机构的细节将通过与金融行业代表的进一步磋商确定。
金融监管机构计划推出新的人工智能安全工具
除强制检查外，金融委员会还计划改进金融机构报告疑似网络攻击的方式。
目前，金融监督院和金融安全院通过一个名为FIRST的综合监控平台向企业分发威胁信息。
然而，个别金融机构通过自身监控系统发现的信息并未在整个行业内持续共享。
监管机构希望扩展该系统，使企业能够报告新发现的威胁，并帮助其他企业在类似攻击蔓延之前作出响应。
当局正在准备一个基于人工智能的威胁监控框架，该框架将对检测到的风险进行严重程度分类，并向金融机构提供信息。
金融委员会正在考虑能够测试外部暴露的计算机系统、内部软件代码和移动应用程序漏洞的人工智能工具。
规模较小的公司可以通过与金融行业协会共同开发的共享人工智能监控服务获得支持。
金融安全院将审查拟议的服务，并针对技术资源有限的企业准备量身定制的安全指南。
在10月14日的会议上，FSC秘书长申镇昌批评了那些尽管多次警告仍未遵守基本网络安全要求的金融公司。
他表示，在之前的金融安全事件引发加强管控的呼声后，发现这些缺陷“非常令人痛心”。
申镇昌呼吁在外部连接、身份验证程序、监控系统和高管责任方面进行改进。
他表示，监管机构将推行一套旨在“以AI防御AI攻击”的系统。
当局此前已就诈骗向客户发出警告
在宣布最新提案之前，韩国监管机构发布了一份消费者警示，涉及金融行业数据泄露期间被盗信息可能被滥用的问题。
10月6日，FSC和金融监督院发布了一级 caution 通知，警告客户注意网络钓鱼攻击和欺诈性贷款申请。
这些机构设立了从10月6日开始为期一个月的特别应对期。
在此期间，金融公司被指示向受影响的客户提供协助，并加强对可疑开户、贷款申请和大额转账的监控。
当局指示各公司使用基于AI的反网络钓鱼共享与分析平台（称为ASAP），以分发有关可疑欺诈的信息。
监管机构表示，在可疑活动涉及可能被盗的客户信息时，公司应要求进行额外的身份验证。
在10月6日发布通知时，当局尚未确认因利用近期数据泄露中暴露的信息进行网络钓鱼或未经授权转账而造成的财务损失。
这些机构表示，如果后续确认涉及被盗信息的财务损失，他们将把消费者警示从一级提升至二级。
