韩国在确认16家机构发生安全事件、约10万条客户记录外泄，以及对555家受查机构中有130家发现漏洞后，提议对银行、加密货币企业和其他金融公司实施更严格的网络安全规则。

韩国金融服务委员会（FSC）在首尔举行第二次紧急应对会议后公布了这些提案。会议审议了近期攻击事件以及行业范围安全检查的结果。拟议变化包括更频繁的漏洞评估、加强威胁监测，以及更清晰地界定公司高管的责任。

韩国在130家公司发现安全问题

FSC称，截至10月8日，已使用一份12项网络安全检查清单完成对555家金融公司的审查。其中425家公司表示其安全措施符合清单要求，另有130家公司发现需要整改的问题。

监管机构表示，大多数受影响公司只需在一到两项方面改进。常见问题包括安全软件过时、监测系统薄弱，以及对外部可访问计算机系统的保护不足。

一些公司尚未安装最新安全更新。另一些公司仍在运行制造商已不再支持的操作系统，因此无法获得常规安全维护。

检查还发现，部分企业缺乏持续的安全监控。有关部门识别出访问控制方面的漏洞，包括某些重要系统未使用多因素认证等增强身份验证程序。

电子金融服务提供商和在线放贷企业报告的问题相对较多。FSC表示，这一模式部分归因于这些行业可用于网络安全的资源较少。

发现漏洞的公司已提交整改计划，措施包括安装安全更新、替换过时设备、扩大监控人员配置以及限制对敏感系统的访问。

监管机构表示，受影响公司在审查后已开始实施纠正措施。

需要注意的是，这130家存在安全缺陷的公司并不都属于黑客受害者。FSC另行确认了16家金融企业确实发生安全事件。

16家受影响机构中包括加密公司

调查确认的事件涉及四家商业银行、四家储蓄银行、放贷公司、电子金融服务提供商、在线投资业务以及两家加密货币服务运营商。

受影响的数字资产企业包括运营Gopax加密货币交易所的Streami，以及在FSC公告中被认定为虚拟资产服务提供商的Prabang。

受影响的银行机构包括新韩银行、KB国民银行、釜山银行和韩亚银行。储蓄银行包括Yegaram、Welcome、DB和OK。

其他受影响企业包括现代资本、KDB Capital、PFCT、Mouda以及韩国社区信用合作社联合会。

FSC估计，确认的这些事件中约有10万条客户信息被泄露。

受损记录包括姓名、电话号码、电子邮件地址以及韩国居民登记号码。

不过，委员会表示，调查人员尚未确认账户密码或支付卡号外泄，而这些信息可能直接用于未经授权的交易。

事件发生后，监管机构要求受影响公司封锁与可疑活动相关的IP地址、应用安全补丁，并在必要时暂停存在漏洞的服务。

信息遭泄露的客户将收到通知以及保护措施指引。

金融监督院和金融安全研究院仍在调查攻击者如何进入受影响系统。调查人员正在比对各起事件中的技术证据，以确定是否由同一批个人或团体所为。

当局尚未确认人工智能是否在这些攻击中发挥了作用。

韩国加密货币企业此前也曾面临单独的安全调查。今年7月，金融监督院就Upbit运营方Dunamu此前的钱包泄露事件启动了制裁程序。

针对Upbit 2025年11月黑客事件的监管调查，涉及该交易所的安全责任以及对现行虚拟资产保护法律的合规情况。

该程序针对的是另一宗事件，FSC表示并未将其与最新一批金融业攻击联系起来。

韩国提议每年两次进行网络安全检查

在检查结果公布后，FSC提出增加网络安全评估频率的计划，首先从大型金融机构开始。

目前金融监管规则通常要求每年进行一次漏洞评估，而对外部网站的检查已是每年两次。

拟议改革将把评估频率扩大到至少每年两次，适用于外部连接广泛、客户基础庞大的大型机构。

监管机构计划将重要外部接入点列为强制检查对象。有关部门还在考虑，在出现紧急威胁时，于计划审查之外追加安全检查。

委员会还计划更细致地审查金融机构系统，涵盖外部连接、认证程序和内部控制。

在拟议安排下，公司需要更清楚地记录外部系统如何连接到其网络，以及哪些员工或服务可以访问敏感信息。

FSC希望更明确地划分首席执行官、首席信息安全官和首席信息官的职责。

监管机构正在研究如何在企业未落实必要安全措施或忽视检查后建议时，强化问责。

委员会没有宣布每年两次评估要求的最终实施日期。

检查时间表和适用机构的细节，将通过与金融业代表进一步磋商后确定。

金融监管机构计划推出新的AI安全工具

除强制检查外，FSC还计划改善金融机构报告可疑网络攻击的方式。

目前，金融监督院和金融安全研究院通过名为FIRST的综合监测平台向公司分发威胁信息。

不过，单个金融机构通过自身监测系统识别出的信息，并未在整个行业中得到一致共享。

监管机构希望扩大该系统，使公司能够报告新发现的威胁，并帮助其他企业在类似攻击扩散前作出应对。

当局正准备建立一个基于AI的威胁监测框架，用于对已发现风险的严重程度进行分类，并向金融机构提供信息。

FSC还在考虑可对外部暴露的计算机系统、内部软件代码和移动应用进行漏洞测试的AI工具。

较小公司可通过与金融业协会合作开发的共享AI监测服务获得支持。

金融安全研究院将评估这一拟议服务，并为技术资源有限的企业制定相应安全指南。

在10月14日的会议上，FSC秘书长申镇昌批评一些金融公司在多次警告后仍未遵守基本网络安全要求。

他说，在此前金融安全事件已促使外界呼吁加强控制之后，再次发现这些缺陷“非常痛苦”。

申镇昌呼吁在外部连接、认证程序、监测系统和高管责任方面进行改进。

他说，监管机构将推动建立一个旨在“用AI防御AI攻击”的体系。

当局此前已向客户发出诈骗警示

在公布最新提案之前，韩国监管机构已就金融业泄露信息可能被滥用发布消费者警示。

10月6日，FSC和金融监督院发布一级警示通知，提醒客户警惕钓鱼攻击和虚假贷款申请。

两家机构设立了自10月6日起为期一个月的特别应对期。

在此期间，金融公司被要求向受影响客户提供协助，并加强对可疑开户、贷款申请和大额转账的监控。

当局指示企业使用基于AI的反钓鱼共享与分析平台ASAP，分发有关疑似欺诈的信息。

监管机构表示，如果可疑活动涉及可能被盗的客户信息，公司应要求进一步身份验证。

在10月6日通知发布时，当局尚未确认近期泄露信息被用于钓鱼或未经授权转账所造成的金融损失。

两家机构表示，如果随后确认涉及被盗信息的金融损失，将把消费者警示从一级提升至二级。