Wyciek danych z systemu oceny ochrony informacji w Financial Security Institute

Two rows of black and white piano keys — Manuel Luikenga / Unsplash

System stałej oceny ochrony informacji w Financial Security Institute stał się celem zewnętrznego ataku, w wyniku którego wyciekły formularze przedkładane przez firmy finansowe oraz dane osobowe. Instytucja potwierdziła wykrycie incydentu 9 listopada około godziny 15:00, po czym zablokowała dostęp do systemu i zgłosiła zdarzenie do Financial Services Commission oraz Korea Internet and Security Agency.

Według oficjalnych danych wyciek objął około 200 dokumentów administracyjnych, w tym wzory zgód na przetwarzanie danych kredytowych osób fizycznych. Ujawniono również około 300 rekordów danych osobowych, takich jak imiona i daty urodzenia zawarte w formularzach, a także około 350 rekordów informacji o użytkownikach systemu, obejmujących zamaskowane imiona, numery telefonów komórkowych oraz adresy e-mail.

Financial Security Institute oświadczył, że wrażliwe dane klientów, w tym numery identyfikacyjne mieszkańców i informacje kredytowe, a także dane dotyczące architektury systemów firm finansowych nie wyciekły. Przedstawiciele organizacji wyjaśnili, że system służy do przesyłania formularzy administracyjnych i nie gromadzi informacji o bezpieczeństwie, takich jak wyniki analizy podatności.

Analiza podręcznika instruktażowego wydanego przez Financial Security Institute z grudnia 2024 roku wskazuje jednak na inne wymagania. Dokument ten nakłada na firmy finansowe obowiązek przesyłania dowodów operacyjnych, w tym schematów sieciowych potwierdzających separację sieci, polityk wykrywania i blokowania włamań oraz raportów z kontroli i naprawy podatności stron internetowych. Wymagane są również dowody w postaci zrzutów ekranu z ustawień polityk blokowania lub historii operacyjnych.

Instrukcje przewidują, że firmy muszą dostarczać dowody na kontrolę dostępu do internetu z terminali służbowych i serwerów, co może obejmować raporty z wdrożenia separacji sieci. System wymaga także przedstawienia ponad 100 rekordów logów dostępu do systemów przetwarzania danych kredytowych wraz z kryteriami oceny działań nietypowych i procedurami raportowania do osób odpowiedzialnych.

Istnieje ryzyko, że ujawnione adresy e-mail użytkowników mogą zostać wykorzystane do ataków phishingowych podszywających się pod prośby o uzupełnienie dokumentacji. Eksperci wskazują, że połączenie danych o separacji sieci i ekranów obsługi rozwiązań bezpieczeństwa może pozwolić na odtworzenie systemów obronnych poszczególnych firm finansowych.