Après Bithumb, des hackers s'attaquent à l'Institut de Sécurité Financière de Corée du Sud

Cyberattaque à l'Institut de Sécurité Financière de Corée du Sud

L'Institut de Sécurité Financière de Corée du Sud a subi une cyberattaque qui a exposé des centaines de dossiers d'employés ainsi que des documents appartenant à de nombreuses entreprises financières. Cet incident survient moins de deux semaines après qu'un échange de cryptomonnaies, Bithumb, a signalé une violation de sécurité distincte.

Détails de l'attaque

Selon un rapport du 11 novembre du Chosun Daily, les attaquants se sont fait passer pour un fonctionnaire du Service de Supervision Financière (FSS) et ont exploité des faiblesses dans un système d'authentification pour accéder de manière non autorisée aux dossiers de l'institut. L'institut, qui a pour mission de protéger l'industrie financière de Corée du Sud contre les menaces cybernétiques, a découvert l'intrusion le 9 novembre et a immédiatement bloqué l'accès au système affecté.

Les premières constatations indiquent que des informations associées à plus de 40 entreprises financières ont été compromises, y compris environ 300 dossiers contenant des informations personnelles telles que des noms et des dates de naissance. Les attaquants ont ciblé le Système de Support d'Évaluation Continue de l'institut, une plateforme en ligne utilisée par les entreprises financières pour soumettre des documents et subir des évaluations de sécurité de l'information.

Exploitation des failles de sécurité

Les enquêteurs ont découvert que les hackers avaient exploité une page d'accès temporaire, prévue pour les situations où l'authentification par SMS n'était pas disponible. Cette voie d'accès alternative ne nécessitait pas le même processus de vérification, permettant ainsi aux attaquants d'entrer dans le système par un compte qui semblait appartenir au FSS. Selon le rapport, les attaquants ont utilisé plus de 100 adresses IP différentes pendant l'intrusion, changeant fréquemment de connexions pour éviter d'être détectés.

"L'accès répété à un système depuis la même adresse peut laisser des traces identifiables, ce qui pourrait expliquer pourquoi les attaquants changeaient d'adresses."

Le compte compromis avait apparemment des autorisations associées aux régulateurs financiers, leur permettant d'examiner les informations soumises par plusieurs institutions. En revanche, les entreprises financières ordinaires ne peuvent accéder qu'à leurs propres dossiers. Les enquêteurs examinent comment le compte frauduleux a obtenu ces autorisations et si l'exception d'authentification a été correctement gérée.

Conséquences de l'incident

Les documents exposés comprenaient environ 200 formulaires administratifs, plus de 300 dossiers d'informations personnelles et environ 350 dossiers d'utilisateurs du système contenant des noms et des numéros de téléphone partiellement masqués. La plupart des informations personnelles affectées appartenaient à des employés responsables des évaluations de sécurité dans les institutions financières. L'institut a précisé que la plateforme compromise ne stockait pas de configurations réseau sensibles, de résultats d'évaluation de vulnérabilité ou d'informations de crédit personnel des clients.

Suite à cette découverte, l'institut a signalé l'incident à la Commission des Services Financiers et à l'Agence Coréenne de Sécurité Internet. Les entreprises financières touchées ont été informées individuellement, tandis que l'institut a commencé à préparer des notifications pour les employés dont les informations personnelles avaient été exposées. Les autorités ont lancé une enquête sur l'attaque, la police recevant des informations techniques, y compris des adresses IP associées à l'intrusion, le 10 novembre.

Contexte et incidents connexes

La dernière attaque fait suite à un incident du 27 octobre chez Bithumb, où une partie non autorisée a accédé au système interne de groupware mobile de l'échange de cryptomonnaies utilisé pour les communications des employés. Comme l'a précédemment rapporté crypto.news, Bithumb a confirmé que des informations sur les employés avaient été exposées et a commencé à enquêter pour savoir si des dossiers clients étaient inclus.

Pendant la même période, Daishin Securities a révélé que des informations personnelles et de crédit appartenant à 38 490 clients avaient été exposées, tandis que Mirae Asset Global Investments a signalé un accès non autorisé à certains systèmes. Plus récemment, l'échange sud-coréen GOPAX a suspendu le trading et les retraits le 6 novembre après avoir reçu un e-mail menaçant une cyberattaque.

La Commission des Services Financiers avait par ailleurs ordonné aux échanges de cryptomonnaies nationaux de renforcer les contrôles d'accès des administrateurs, les procédures d'approbation des retraits et la surveillance des transactions suite au piratage de Binance du 29 octobre. Selon les règles existantes en Corée du Sud, les échanges doivent maintenir au moins 80 % des actifs en cryptomonnaies des clients en stockage à froid.