Dopo Bithumb, gli hacker colpiscono l'agenzia di sicurezza finanziaria della Corea del Sud

Attacco informatico all'Istituto di Sicurezza Finanziaria della Corea del Sud

L'Istituto di Sicurezza Finanziaria della Corea del Sud ha subito un attacco informatico che ha esposto centinaia di registri e documenti di dipendenti appartenenti a dozzine di aziende finanziarie, meno di due settimane dopo che l'exchange di criptovalute Bithumb aveva segnalato una violazione della sicurezza separata.

Dettagli dell'attacco

Secondo un rapporto dell'11 novembre di Chosun Daily, gli aggressori si sono spacciati per funzionari del Servizio di Supervisione Finanziaria (FSS) e hanno sfruttato vulnerabilità in un sistema di autenticazione per ottenere accesso non autorizzato ai registri dell'istituto. L'istituto, che ha il compito di proteggere l'industria finanziaria della Corea del Sud dalle minacce informatiche, ha scoperto l'intrusione il 9 novembre e ha successivamente bloccato l'accesso al sistema compromesso.

I risultati preliminari indicano che le informazioni associate a più di 40 aziende finanziarie sono state compromesse, inclusi circa 300 registri di informazioni personali contenenti nomi e date di nascita. Gli aggressori hanno preso di mira il Sistema di Supporto alla Valutazione Continua dell'istituto, una piattaforma online utilizzata dalle aziende finanziarie per inviare documenti e sottoporsi a valutazioni di sicurezza delle informazioni.

Metodi utilizzati dagli aggressori

Gli investigatori hanno scoperto che gli hacker avevano sfruttato una pagina di accesso temporanea, destinata a situazioni in cui l'autenticazione SMS non era disponibile. Questo percorso di accesso alternativo non richiedeva lo stesso processo di verifica, consentendo agli aggressori di entrare nel sistema attraverso un account che sembrava appartenere al FSS.

"Accedere ripetutamente a un sistema dallo stesso indirizzo può lasciare tracce identificabili"

Secondo il rapporto, gli aggressori hanno utilizzato più di 100 indirizzi IP diversi durante l'intrusione, cambiando frequentemente le loro connessioni per evitare di essere rilevati. L'account compromesso riportava permessi associati ai regolatori finanziari, che possono esaminare le informazioni inviate da più istituzioni.

Informazioni esposte e reazioni

Il materiale esposto includeva circa 200 moduli amministrativi, più di 300 registri di informazioni personali e circa 350 registri di utenti di sistema contenenti nomi e numeri di telefono parzialmente mascherati. La maggior parte delle informazioni personali compromesse apparteneva a dipendenti responsabili delle valutazioni di sicurezza presso le istituzioni finanziarie.

L'istituto ha dichiarato che la piattaforma compromessa non memorizzava configurazioni di rete sensibili, risultati di valutazioni delle vulnerabilità o informazioni di credito personali dei clienti. Dopo la scoperta, l'istituto ha segnalato l'incidente alla Commissione per i Servizi Finanziari e all'Agenzia per Internet e Sicurezza della Corea.

Indagini e misure di sicurezza

Le aziende finanziarie interessate sono state informate singolarmente, mentre l'istituto ha iniziato i preparativi per informare i dipendenti le cui informazioni personali erano state esposte. Le autorità hanno avviato un'indagine sull'attacco, con la polizia che ha ricevuto informazioni tecniche, inclusi indirizzi IP associati all'intrusione, il 10 novembre.

I regolatori finanziari hanno iniziato un'ispezione in loco il giorno successivo per esaminare le misure di sicurezza dell'istituto e determinare come gli aggressori abbiano ottenuto accesso. L'istituto ha dichiarato che rivedrà le proprie procedure di gestione della sicurezza e fornirà risarcimenti se ulteriori danni derivano dalle informazioni esposte.

Contesto e precedenti attacchi

L'incidente segue diversi problemi di cybersicurezza nell'industria finanziaria della Corea del Sud, inclusi attacchi che coinvolgono exchange di criptovalute. A ottobre, i regolatori hanno identificato incidenti di sicurezza in 16 istituzioni finanziarie, comprese due aziende di criptovalute, mentre circa 100.000 registri di clienti sono stati segnalati come esposti.

Una revisione a livello di settore ha successivamente identificato debolezze di sicurezza in 130 delle 555 aziende finanziarie esaminate. L'ultimo attacco segue un incidente del 27 ottobre presso Bithumb, dove una parte non autorizzata ha avuto accesso al sistema interno di groupware mobile dell'exchange di criptovalute utilizzato per le comunicazioni tra i dipendenti.

Durante lo stesso periodo, Daishin Securities ha rivelato che le informazioni personali e di credito appartenenti a 38.490 clienti erano state esposte, mentre Mirae Asset Global Investments ha segnalato accessi non autorizzati a determinati sistemi.

Più recentemente, l'exchange sudcoreano GOPAX ha sospeso le negoziazioni e i prelievi il 6 novembre dopo aver ricevuto un'email che minacciava un attacco informatico. GOPAX ha dichiarato di non aver rilevato un'intrusione reale o un furto di criptovalute quando sono state introdotte le restrizioni.

La Commissione per i Servizi Finanziari aveva separatamente istruito gli exchange di criptovalute nazionali a rafforzare i controlli di accesso degli amministratori, le procedure di approvazione dei prelievi e il monitoraggio delle transazioni dopo l'hack di Binance del 29 ottobre. Secondo le attuali normative della Corea del Sud, gli exchange devono mantenere almeno l'80% degli asset in criptovalute dei clienti in cold storage.