Güney Kore finans sektöründe 40 ihlal: 473 bin bilgi kaydı sızdı

Güney Kore finans sektöründeki 37 kuruluşta bildirilen 40 siber güvenlik olayı, çalışanlara ve müşterilere ait yaklaşık 473 bin bilgi kaydının sızmasına yol açtı.

Bazı küçük kripto varlık borsaları, elektronik finans hizmeti sağlayıcıları ve çevrim içi yatırım bağlantılı finans kuruluşları, yönettikleri yaklaşık 1 milyar won tutarındaki fonların çalındığını da bildirdi. Bu tutar üç sektördeki bildirimlerin toplamı; yalnızca kripto varlık borsalarındaki hırsızlığı göstermiyor.

Güney Kore Finansal Hizmetler Komisyonu (FSC), 5 Kasım'da yayımladığı basın açıklamasında finans sektörünün siber güvenlik yapısını yenileme planını duyurdu. Olaylar, 30 Eylül ile 3 Kasım arasındaki dönemi kapsıyor.

Bildirilen olayların yaşandığı kuruluşların sektörel dağılımı şöyleydi: elektronik finans hizmeti sağlayıcılarında 10; finansal yatırım şirketleri ile tasarruf bankalarında beşer; bankalar ile çevrim içi yatırım bağlantılı finans kuruluşlarında dörder; sigorta şirketleri ile kripto varlık hizmet sağlayıcılarında üçer; kredi finansman şirketlerinde iki ve kooperatif finans kuruluşlarında bir olay.

Sızan bilgiler arasında çalışan verileri ile müşterilerin adları, Güney Kore vatandaş kayıt numaraları ve hesap numaraları yer aldı. Hesap şifreleri gibi yetkisiz ödemelere yol açabilecek bilgilerin sızdığı tespit edilmedi. Yaklaşık 473 bin rakamı bilgi kaydı sayısını ifade ediyor, etkilenen kullanıcı sayısını değil. Kullanıcıların doğrudan maddi zarara uğradığı da henüz doğrulanmadı.

Çalınan fonların kripto varlık sıcak cüzdanlarından, harcanabilir puanlardan ve müşteri varlıklarını toplu olarak yöneten hesaplardan aktarıldığı bildirildi.

FSC, daha önce 14 Ekim'de Shinhan Bank'taki ihlalin öncesinde ve sonrasında 16 finans kuruluşunda olay tespit etmiş, yaklaşık 100 bin bilgi kaydının sızdığını açıklamıştı. TokenPost'un o dönemdeki haberinde kripto varlık hizmet sağlayıcıları Streami ve Prabang da yer almıştı.

Güney Koreli finans yetkilileri, son ihlallerin temel bilgi işlem sistemlerinden çok güvenlik yönetimi daha zayıf olan çevre sistemlerinde yoğunlaştığını belirtti. Çalışanların satış ve müşteri hizmetleri için kullandığı web ve mobil hizmetler gibi dış bağlantılı sistemler de başlıca saldırı hedefleri arasındaydı.

Yetkililer erişim yetkilerinin yetersiz yönetilmesini, iki faktörlü kimlik doğrulamanın aşılmasını ve uygulama programlama arayüzlerinin (API) yetersiz denetlenmesini başlıca güvenlik açıkları arasında saydı. Güney Kore Finansal Güvenlik Enstitüsü'nün günde ortalama tespit ettiği şüpheli siber saldırı trafiği 100 bin ila 150 bin kayıt arasında. Finans sektöründeki güvenlik kontrol listesi incelemesinin 14 Ekim'de tamamlanmasının ardından da özellikle küçük ve orta ölçekli kuruluşlardan bildirimler gelmeye devam etti.

Finansal yetkililer, bankalar, aracı kurumlar, sigorta şirketleri, elektronik finans hizmeti sağlayıcıları ve kripto varlık hizmet sağlayıcıları dahil yaklaşık 580 kuruluşta yıl sonuna kadar kapsamlı inceleme yürütecek. Denetimlerde internet siteleri, çalışan yönetimi ve kurum içi iş sistemleri, iş ortaklığı sistemleri, API'ler ile geliştirme ve test sistemleri gibi dış bağlantılı bilişim varlıkları incelenecek.

İnceleme kapsamında üst yöneticilerin (CEO) ve bilgi güvenliğinden sorumlu yöneticilerin (CISO) rolleri ile güvenlik kararlarının nasıl alındığı da değerlendirilecek. FSC Başkanı Lee Eog-weon (이억원), “Müşterilerinin bilgilerini ve varlıklarını koruyamayan bir finans kuruluşu, varlık nedenini çoktan yitirmiştir” dedi. Lee, güvenliğin yalnızca belirli bir departmanın teknik meselesi olmadığını ve üst yönetimin doğrudan sorumluluk alması gereken temel bir yönetim konusu olduğunu vurguladı.

Finans kuruluşları, maddi zarara veya kişisel bilgilerin sızmasına yol açabilecek ciddi bir güvenlik açığı bulmaları hâlinde hizmeti durdurmalı ya da dış erişimi engellemeli. Güney Kore Finansal Denetim Servisi ile Finansal Güvenlik Enstitüsü, incelemesi yetersiz kalan veya ciddi güvenlik açıkları tespit edilen kuruluşlarda yerinde denetim yapmayı planlıyor.

Envantere kayıtlı dış bağlantılı sistemlerin denetimi 30 Kasım'a kadar tamamlanacak. Kayıt dışı sistemler ve iç kontrol yapısına yönelik incelemelerin ise 31 Aralık'a kadar bitirilmesi planlanıyor. Denetim sonuçlarını yansıtacak güvenlik iç kontrol kılavuzunun gelecek yılın ilk çeyreğinde hazırlanması bekleniyor.

Yetkililer, büyük finans kuruluşlarında dış kuruluşlarca yapılan güvenlik açığı analiz ve değerlendirmelerini yılda en az ikiye çıkarmayı, bu uygulamayı 2028'den itibaren küçük ve orta ölçekli kuruluşlar dahil tüm finans sektörüne yaymayı planlıyor. Ciddi güvenlik açıklarını uzun süre gidermeyen kuruluşlara düzeltme emri verilmesi ve bu emre uyulmaması hâlinde zorlayıcı para cezası uygulanması için yasal değişiklik de gündemde.

Büyük finans kuruluşlarının tespit ettiği saldırgan IP adreslerinin, kötü amaçlı yazılımların ve saldırı yöntemlerinin Finansal Denetim Servisi'nin birleşik izleme sisteminde paylaşılmasına yönelik düzenek gelecek ay pilot olarak başlatılacak ve gelecek yılın ilk çeyreğinde tam kapasiteyle işletilecek. FSC, kripto varlık borsalarının siber güvenlik olaylarını Kore İnternet ve Güvenlik Ajansı'nın yanı sıra Finansal Denetim Servisi'ne ve Finansal Güvenlik Enstitüsü'ne de derhâl bildirmesini öngören talimatı Kasım ayında hazırlayacağını duyurdu.

Yetkililer, güvenlik kurallarının kripto varlık hizmet sağlayıcılarını ve sigorta acentelerini (GA) de kapsamasını öngören “Dijital Finans Güvenliği Yasası” taslağını gelecek yılın ilk çeyreğinde hazırlamayı planlıyor. Finans kuruluşlarına bağlı bulut hizmeti sağlayıcıları ve platformlar gibi dış hizmet sağlayıcılar için uygulanacak güvenlik kuralları da değerlendirilecek.

Yetkililer, karanlık ağ ve Telegram gibi kanallarda sızdırılan kişisel bilgilerin yasa dışı dolaşımını sürekli izlemeyi planlıyor. Telefon dolandırıcılığı şüphesi taşıyan işlemleri yapay zekâyla analiz edecek “Phishing Index” de Kasım ayında pilot olarak devreye alınacak. Telefon dolandırıcılığı mağdurlarının zararlarının bir bölümünü finans kuruluşlarının kusursuz sorumluluk kapsamında karşılamasına yönelik yasal düzenleme ve ağ izolasyonu kuralları yerine yapay zekâ tabanlı güvenlik teknolojileri ile sıfır güven gibi seçeneklerin değerlendirilmesi için bir çalışma grubu da oluşturulacak.