דרום קוריאה מקדמת הידוק של הפיקוח על אבטחת המידע בגופים פיננסיים, ובכללם גם ספקי שירותי לנכסים וירטואליים. לפי נציבות השירותים הפיננסיים בקוריאה (FSC), הרשויות מבקשות לפרסם כבר החודש הנחיות שיחייבו חברות קריפטו לדווח מיד על מתקפות סייבר לרשויות הפיננסיות. כיום, לפי הנציבות, ספקים אלה מדווחים על אירועים לרשות אבטחת האינטרנט והמידע של קוריאה (KISA), אך אינם מחויבים לדווח מיד לגופי הפיקוח הפיננסיים. עדיין מדובר בתוכנית להנחיות, ולא בחובה חדשה שנכנסה לתוקף.

המהלך מגיע אחרי שורה של פריצות למוסדות פיננסיים במדינה. בין 30 בספטמבר ל־3 בנובמבר דווחו 40 אירועי פריצה ב־37 חברות, ובהן שלושה ספקי שירותי נכסים וירטואליים. לפי ה־FSC, היקף המידע האישי שנחשף עומד על כ־473 אלף רשומות. מדובר בעיקר בפרטי עובדים, אך נחשפו גם שמות, מספרי תושבות ומספרי חשבון של לקוחות. הנציבות ציינה כי עד כה לא דווח על גניבת סיסמאות לחשבונות לקוחות. היא הורתה לגופים הרלוונטיים להגביר מעקב אחר פעילות חריגה ולפעול כדי למנוע נזק משני, למשל ניצול של פרטים שנחשפו לצורכי הונאה.

במקביל, כמה חברות קטנות בתחומי הקריפטו, השירותים הפיננסיים המקוונים וההלוואות בין עמיתים דיווחו על אובדן כספים כולל של כמיליארד וון קוריאני. לפי הודעת הרגולטור, עיקר הכספים נגרע מחשבונות ניהול, ולא דווח עד כה על הפסד של לקוחות פרטיים. חשוב להדגיש שהסכום מתייחס לכמה סוגי גופים יחד ולא לענף הקריפטו בלבד. ה־FSC לא פירט אילו חברות נפגעו. המשמעות המיידית עבור הזירות אינה רק דרישה לדווח מהר יותר: הרשויות בוחנות גם את אופן ניהול ההרשאות, נקודות הגישה החיצוניות והנהלים בתוך החברות.

עד סוף נובמבר צפויות הרשויות לבדוק מערכות שמופיעות ברישומי נכסי ה־IT של כ־580 גופים פיננסיים. הבדיקות כוללות ממשקי API, מערכות ניהול כוח אדם, מערכות תפעול ותוכנות של חברות קשורות שנגישות מבחוץ. אם תתגלה חולשה משמעותית, לפי ה־FSC, ייתכן שהגוף יידרש להשבית שירות ולנתק את נקודת הגישה החיצונית. בחינת מנגנוני הבקרה הפנימיים צפויה להסתיים עד סוף השנה. בנוסף, מתוכננת מערכת משותפת להעברת מידע על מתקפות בין גופים פיננסיים: היא צפויה להתחיל בפיילוט בדצמבר ולהתרחב לכל המגזר ברבעון הראשון של 2027.

עוד ב-

שוק הקריפטו מתייצב: הביטקוין בצלילה קלה, אופטימיות זעירה במטבעות

לכתבה המלאה

לצד הצעדים המיידיים, הנציבות מתכננת להכין ברבעון הראשון של 2027 הצעת חוק לבטיחות פיננסית דיגיטלית. לפי ההודעה, החוק אמור להרחיב לחברות נכסים וירטואליים ולגופים נוספים דרישות אבטחת מידע שחלות כיום על חברות פיננסיות מסוימות. עד אז, מדובר בתוכניות ובבדיקות שמקודמות בשלבים, ולכן היקף החובות הסופי עוד לא נקבע. אבל הכיוון ברור: הרשויות מבקשות לקבל תמונת מצב מהירה יותר בזמן אירוע, לצד הקשחת מערכות הגישה והבקרה. בהודעה לא פורטו עדיין נוסח ההנחיות או ההשלכות במקרה של אי־דיווח.