Ciberataque al Instituto de Seguridad Financiera de Corea del Sur tras la violación de Bithumb

Ciberataque al Instituto de Seguridad Financiera de Corea del Sur

El Instituto de Seguridad Financiera de Corea del Sur ha sido víctima de un ciberataque que expuso cientos de registros de empleados y documentos de diversas empresas financieras, menos de dos semanas después de que la plataforma de intercambio de criptomonedas Bithumb informara sobre una violación de seguridad. Según un informe del 11 de noviembre de Chosun Daily, los atacantes se hicieron pasar por funcionarios del Servicio de Supervisión Financiera (FSS) y aprovecharon vulnerabilidades en un sistema de autenticación para obtener acceso no autorizado a los registros del instituto.

Detalles del ataque

El instituto, encargado de proteger la industria financiera de Corea del Sur contra amenazas cibernéticas, detectó la intrusión el 9 de noviembre y bloqueó el acceso al sistema afectado. Los hallazgos preliminares indican que la información de más de 40 empresas financieras fue comprometida, incluyendo aproximadamente 300 registros de información personal que contenían nombres y fechas de nacimiento. Los atacantes dirigieron su ataque al Sistema de Soporte de Evaluación Continua del instituto, una plataforma en línea utilizada por las empresas financieras para enviar documentos y someterse a evaluaciones de seguridad de la información.

Los investigadores descubrieron que los hackers habían explotado una página de acceso temporal, diseñada para situaciones en las que la autenticación por SMS no estaba disponible. Esta ruta alternativa no requería el mismo proceso de verificación, lo que permitió a los atacantes ingresar al sistema a través de una cuenta que parecía pertenecer al FSS. Según el informe, los atacantes utilizaron más de 100 direcciones IP diferentes durante la intrusión, cambiando frecuentemente sus conexiones para evitar ser detectados.

"Acceder repetidamente a un sistema desde la misma dirección puede dejar rastros identificables"

Un funcionario del instituto explicó que esta estrategia podría explicar por qué los atacantes cambiaban de dirección constantemente. La cuenta comprometida supuestamente tenía permisos asociados con los reguladores financieros, quienes pueden revisar la información presentada por múltiples instituciones. En comparación, las empresas financieras ordinarias solo pueden acceder a sus propios registros.

Consecuencias del ataque

El material expuesto incluía aproximadamente 200 formularios administrativos, más de 300 registros de información personal y alrededor de 350 registros de usuarios del sistema que contenían nombres y números de teléfono parcialmente enmascarados. La mayor parte de la información personal afectada pertenecía a empleados responsables de las evaluaciones de seguridad en las instituciones financieras. El instituto aseguró que la plataforma comprometida no almacenaba configuraciones de red sensibles, resultados de evaluaciones de vulnerabilidad ni información crediticia personal de los clientes.

Tras el descubrimiento, el instituto informó del incidente a la Comisión de Servicios Financieros y a la Agencia de Internet y Seguridad de Corea. Las empresas financieras afectadas fueron notificadas individualmente, mientras que el instituto comenzó a preparar la comunicación a los empleados cuya información personal había sido expuesta. Las autoridades han iniciado una investigación sobre el ataque, y la policía recibió información técnica, incluidas las direcciones IP asociadas con la intrusión, el 10 de noviembre.

Revisión de seguridad y contexto

Los reguladores financieros comenzaron una inspección in situ al día siguiente para examinar los arreglos de seguridad del instituto y determinar cómo los atacantes obtuvieron acceso. El instituto ha manifestado que revisará sus procedimientos de gestión de seguridad y proporcionará compensación si se producen daños adicionales como resultado de la información expuesta.

Este incidente se suma a varios problemas de ciberseguridad en la industria financiera de Corea del Sur, incluidos ataques que involucran intercambios de criptomonedas. En octubre, los reguladores identificaron incidentes de seguridad en 16 instituciones financieras, incluidas dos empresas de criptomonedas, y aproximadamente 100,000 registros de clientes fueron reportados como expuestos. Una revisión a nivel de la industria identificó posteriormente debilidades de seguridad en 130 de las 555 empresas financieras examinadas.

Incidentes relacionados

El último ataque sigue a un incidente del 27 de octubre en Bithumb, donde una parte no autorizada accedió al sistema interno de la plataforma de intercambio utilizado para las comunicaciones de los empleados. Como informó anteriormente crypto.news, Bithumb confirmó que se había expuesto información de empleados y comenzó a investigar si se incluyeron registros de clientes. La plataforma aseguró que el sistema comprometido operaba por separado de su infraestructura de trading y no podía ser utilizado para acceder a los activos de criptomonedas de los clientes.

Durante el mismo período, Daishin Securities reveló que se había expuesto información personal y crediticia de 38,490 clientes, mientras que Mirae Asset Global Investments reportó acceso no autorizado a ciertos sistemas. Más recientemente, el intercambio surcoreano GOPAX suspendió el trading y los retiros el 6 de noviembre tras recibir un correo electrónico amenazando con un ciberataque. El intercambio comenzó a transferir las criptomonedas de los clientes a billeteras fuera de línea como medida de precaución e introdujo un proceso de retiro manual que requería que los clientes contactaran a su equipo de soporte.

GOPAX afirmó que no había detectado una intrusión real o robo de criptomonedas cuando se implementaron las restricciones. La Comisión de Servicios Financieros había instruido por separado a los intercambios de criptomonedas nacionales a fortalecer los controles de acceso de administradores, los procedimientos de aprobación de retiros y la supervisión de transacciones tras el hackeo de Binance del 29 de octubre. Según las reglas existentes en Corea del Sur, los intercambios deben mantener al menos el 80% de los activos de criptomonedas de los clientes en almacenamiento en frío. A finales de septiembre, Bithumb mantenía el 94.76% de los activos de los clientes fuera de línea, mientras que GOPAX reportó una proporción del 80.54%.