La Corée du Sud a proposé des règles de cybersécurité plus strictes pour les banques, les entreprises de cryptomonnaies et d'autres sociétés financières après avoir confirmé des incidents de sécurité dans 16 institutions, environ 100 000 dossiers clients exposés et des faiblesses dans 130 des 555 entreprises examinées au 14 octobre.
Résumé
- La Corée du Sud a confirmé des violations dans 16 sociétés financières, dont deux entreprises de cryptomonnaies, à la suite de récentes cyberattaques.
- Les régulateurs financiers ont découvert des faiblesses de sécurité dans 130 des 555 entreprises lors d'un examen par liste de contrôle à l'échelle du secteur.
- Les autorités ont estimé qu'environ 100 000 dossiers clients ont été exposés, y compris des noms, des coordonnées et des numéros d'identification.
- Les grandes institutions financières pourraient faire l'objet de contrôles de vulnérabilité deux fois par an dans le cadre des réformes de cybersécurité proposées par la Corée du Sud.
- Les enquêteurs n'ont pas établi si l'intelligence artificielle a facilité les attaques ou si les mêmes auteurs ont ciblé les entreprises.
La Commission des services financiers (FSC) a annoncé les propositions à la suite de sa deuxième réunion d'intervention d'urgence à Séoul, où les responsables ont examiné les récentes attaques et les résultats d'une inspection de sécurité à l'échelle du secteur. Les changements prévus comprennent des évaluations de vulnérabilité plus fréquentes, une meilleure surveillance des menaces et une responsabilité plus claire pour les dirigeants d'entreprise.
La Corée du Sud découvre des problèmes de sécurité dans 130 entreprises
La FSC a achevé un examen de 555 sociétés financières à l'aide d'une liste de contrôle de cybersécurité en 12 points au 8 octobre. Parmi ces entreprises, 425 ont déclaré que leurs mesures de sécurité répondaient aux exigences de la liste de contrôle, tandis que 130 ont identifié des problèmes nécessitant une correction.
Le régulateur a déclaré que la plupart des entreprises concernées avaient besoin d'améliorations dans un ou deux domaines. Les défaillances courantes comprenaient des logiciels de sécurité obsolètes, des systèmes de surveillance faibles et une protection insuffisante pour les systèmes informatiques accessibles de l'extérieur.
Certaines entreprises n'avaient pas installé les dernières mises à jour de sécurité. D'autres continuaient d'exploiter des systèmes d'exploitation que les fabricants ne prenaient plus en charge, les laissant sans maintenance de sécurité régulière.
L'inspection a révélé que certaines entreprises manquaient de surveillance de sécurité continue. Les autorités ont identifié des faiblesses dans les contrôles d'accès, notamment des cas où des systèmes importants n'utilisaient pas de procédures d'authentification renforcées telles que l'authentification multifacteur.
Les fournisseurs de services financiers électroniques et les entreprises de prêt en ligne ont signalé un nombre relativement élevé de lacunes. La FSC a attribué ce schéma en partie aux ressources de cybersécurité plus limitées de ces secteurs.
Les entreprises qui ont identifié des faiblesses ont soumis des plans pour les corriger. Les mesures comprenaient l'installation de mises à jour de sécurité, le remplacement d'équipements obsolètes, l'augmentation du personnel de surveillance et la restriction de l'accès aux systèmes sensibles.
Le régulateur a déclaré que les entreprises concernées avaient commencé à mettre en œuvre des mesures correctives à la suite de l'examen.
Il est important de noter que les 130 entreprises présentant des déficiences de sécurité n'ont pas toutes été identifiées comme victimes de piratage. La FSC a confirmé séparément des incidents de sécurité réels dans 16 entreprises financières.
Des entreprises de cryptomonnaies citées parmi les 16 entreprises affectées
L'enquête a identifié des incidents impliquant quatre banques commerciales, quatre banques d'épargne, des sociétés de prêt, des fournisseurs de services financiers électroniques, des entreprises d'investissement en ligne et deux opérateurs de services de cryptomonnaies.
Parmi les entreprises d'actifs numériques concernées figuraient Streami, qui exploite l'échange de cryptomonnaies Gopax, et Prabang, identifié comme un fournisseur de services d'actifs virtuels dans l'annonce de la FSC.
Les institutions bancaires comprenaient Shinhan Bank, KB Kookmin Bank, Busan Bank et Hana Bank. Les banques d'épargne étaient Yegaram, Welcome, DB et OK.
D'autres entreprises concernées comprenaient Hyundai Capital, KDB Capital, PFCT, Mouda et la Fédération coréenne des coopératives de crédit communautaire.
La FSC a estimé qu'environ 100 000 informations clients avaient été exposées dans les incidents confirmés.
Les dossiers compromis comprenaient des noms, des numéros de téléphone, des adresses e-mail et des numéros d'enregistrement de résident sud-coréens.
Cependant, la commission a déclaré que les enquêteurs n'avaient pas confirmé l'exposition de mots de passe de compte ou de numéros de carte de paiement qui pourraient directement permettre des transactions non autorisées.
À la suite des incidents, les régulateurs ont demandé aux entreprises concernées de bloquer les adresses IP associées à une activité suspecte, d'appliquer des correctifs de sécurité et de suspendre les services vulnérables lorsque cela était nécessaire.
Les clients dont les informations avaient été exposées devaient recevoir une notification et des conseils sur les mesures de protection.
Le Service de surveillance financière et l'Institut de sécurité financière continuent d'examiner comment les attaquants sont entrés dans les systèmes concernés. Les enquêteurs comparent les preuves techniques entre les incidents afin de déterminer si les mêmes individus ou groupes étaient responsables.
Les autorités n'ont pas établi si l'intelligence artificielle a joué un rôle dans les attaques.
Les entreprises sud-coréennes de cryptomonnaies ont déjà fait l'objet d'enquêtes de sécurité distinctes. En juillet, le Service de surveillance financière a engagé des procédures de sanctions contre Dunamu, l'opérateur d'Upbit, à la suite d'une précédente violation de portefeuille.
L'enquête réglementaire sur le piratage d'Upbit en novembre 2025 concernait les responsabilités de sécurité de la plateforme et sa conformité aux lois existantes sur la protection des actifs virtuels.
Cette procédure concerne un incident différent et n'a pas été liée par la FSC au dernier groupe d'attaques du secteur financier.
La Corée du Sud propose des contrôles de cybersécurité semestriels
À la suite des résultats de l'inspection, la FSC a présenté des plans visant à augmenter la fréquence des évaluations de cybersécurité, en commençant par les grandes institutions financières.
Les réglementations financières actuelles exigent généralement des évaluations de vulnérabilité une fois par an, des contrôles semestriels s'appliquant déjà aux sites web externes.
Les réformes proposées étendraient les évaluations à au moins deux fois par an pour les grandes institutions ayant de nombreuses connexions externes et bases de clients.
Les régulateurs ont l'intention de faire des points d'accès externes importants des cibles d'inspection obligatoires. Les autorités envisagent des examens de sécurité supplémentaires en dehors des examens programmés lorsque des menaces urgentes apparaissent.
La commission prévoit un examen plus détaillé des systèmes des institutions financières, couvrant les connexions externes, les procédures d'authentification et les contrôles internes.
Dans le cadre des dispositions proposées, les entreprises auraient besoin de registres plus clairs de la manière dont les systèmes externes se connectent à leurs réseaux et quels employés ou services peuvent accéder aux informations sensibles.
La FSC souhaite que les responsabilités soient réparties plus clairement entre les directeurs généraux, les directeurs de la sécurité de l'information et les directeurs des systèmes d'information.
Les régulateurs examinent les moyens de renforcer la responsabilité lorsque les entreprises ne mettent pas en œuvre les mesures de sécurité requises ou ignorent les recommandations à la suite des inspections.
La commission n'a pas annoncé de date de mise en œuvre finale pour les exigences proposées d'évaluation semestrielle.
Les détails du calendrier d'inspection et des institutions couvertes seront fixés par des consultations supplémentaires avec les représentants du secteur financier.
Le régulateur financier prévoit de nouveaux outils de sécurité basés sur l'IA
Au-delà des inspections obligatoires, la FSC prévoit d'améliorer la manière dont les institutions financières signalent les cyberattaques suspectées.
Actuellement, le Service de surveillance financière et l'Institut de sécurité financière distribuent des informations sur les menaces aux entreprises via une plateforme de surveillance intégrée connue sous le nom de FIRST.
Cependant, les informations identifiées par les institutions financières individuelles via leurs propres systèmes de surveillance ne sont pas systématiquement partagées à l'échelle du secteur.
Le régulateur souhaite étendre le système afin que les entreprises puissent signaler les menaces nouvellement identifiées et aider d'autres entreprises à réagir avant que des attaques similaires ne se propagent.
Les autorités préparent un cadre de surveillance des menaces basé sur l'IA qui classerait la gravité des risques détectés et fournirait des informations aux institutions financières.
La FSC envisage des outils d'IA capables de tester les systèmes informatiques exposés à l'extérieur, le code logiciel interne et les applications mobiles pour détecter les vulnérabilités.
Les petites entreprises pourraient recevoir un soutien via un service de surveillance partagé basé sur l'IA développé avec les associations du secteur financier.
L'Institut de sécurité financière examinera le service proposé et préparera des conseils de sécurité adaptés aux entreprises disposant de ressources techniques limitées.
Lors de la réunion du 14 octobre, le secrétaire général de la FSC, Shin Jin-chang, a critiqué les entreprises financières qui n'avaient pas respecté les exigences de cybersécurité de base malgré des avertissements répétés.
Il a déclaré qu'il était « très douloureux » de découvrir des lacunes après que des incidents de sécurité financière antérieurs avaient suscité des appels à des contrôles plus stricts.
Shin a appelé à des améliorations couvrant les connexions externes, les procédures d'authentification, les systèmes de surveillance et la responsabilité des dirigeants.
Il a déclaré que le régulateur mettrait en place un système destiné à « se défendre contre les attaques de l'IA avec l'IA ».
Les autorités avaient déjà averti les clients au sujet des arnaques
Avant d'annoncer les dernières propositions, les régulateurs sud-coréens ont émis une alerte aux consommateurs concernant l'utilisation possible d'informations volées lors de violations du secteur financier.
Le 6 octobre, la FSC et le Service de surveillance financière ont émis un avis de prudence de niveau I avertissant les clients des attaques d'hameçonnage et des demandes de prêt frauduleuses.
Les agences ont établi une période de réponse spéciale d'un mois à compter du 6 octobre.
Durant cette période, les entreprises financières ont été chargées de fournir une assistance aux clients affectés et de renforcer la surveillance des ouvertures de comptes suspectes, des demandes de prêt et des transferts importants.
Les autorités ont demandé aux entreprises d'utiliser la plateforme de partage et d'analyse anti-hameçonnage basée sur l'IA, connue sous le nom d'ASAP, pour diffuser des informations sur les fraudes présumées.
Le régulateur a déclaré que les entreprises devraient demander une vérification d'identité supplémentaire lorsque des activités suspectes impliquaient des informations client potentiellement volées.
Au moment de l'avis du 6 octobre, les autorités n'avaient pas confirmé de pertes financières causées par l'hameçonnage ou des transferts non autorisés utilisant des informations exposées lors des récentes violations.
Les agences ont déclaré qu'elles relèveraient l'alerte aux consommateurs du niveau I au niveau II si des dommages financiers ultérieurs impliquant des informations volées étaient confirmés.
