Podatkovni prekršaj Shinhan Banke ugrozio je osobne podatke oko 25.000 klijenata, a južnokorejska Služba za financijski nadzor (FSS) pokrenula je izvanrednu inspekciju na licu mjesta. Uzrok nije bio ukradena lozinka ni zaražen telefon. Bila je to web stranica koja je pustila strance unutra kada je trebala pitati ko su.

Što se dogodilo u Shinhan Banci

Prema izvješćima o incidentu, mobilna web stranica koju je Shinhan Banka izradila za posrednike u kreditima omogućila je neovlašteni vanjski pristup. Stranica je bila namijenjena uskoj skupini ljudi koji rade s bankom na kreditima. Umjesto toga, netko izvan te skupine uspio je doći do nje i, preko nje, do podataka klijenata. Pogođena skupina broji oko 25.000 klijenata.

Izvještavanje korejskih i regionalnih medija pokazuje da se banka javno ispričala i obećala nadoknaditi štetu pogođenim klijentima. Lokalna izvješća također navode da FSS, južnokorejski financijski regulator, provodi inspekciju na licu mjesta. Zasebno izvješće navodi da je manji prekršaj s 119 zapisa klijenata otkriven u KB Kookmin Banci otprilike u isto vrijeme, iako je to odvojen incident.

Neki mediji, pozivajući se na Yonhap, izvijestili su da se sumnjalo na korištenje AI alata u napadu. Taj se detalj još uvijek opisuje kao sumnja, stoga ga uzmite s oprezom dok istražitelji to ne potvrde.

Kako je zaobilaženje autentifikacije izložilo podatke klijenata

Zaobilaženje autentifikacije je mana koja nekome omogućuje pristup zaštićenom sustavu bez ispravnog dokazivanja identiteta. U normalnim okolnostima, stranica za posrednike u kreditima provjerila bi prijavu, sesijski token ili neku drugu vjerodajnicu prije prikazivanja bilo kakvih zapisa. Kada ta provjera nedostaje, manjkava je ili se može preskočiti, stranica može predati podatke svakome tko zna gdje pogledati.

Ovo je problem kontrole pristupa na strani poslužitelja. Klijent nikada nije dotaknuo ranjivu stranicu. Njihovi podaci nalazili su se u sustavu koji je banka, ili ljudi s kojima surađuje, bila odgovorna štititi. Ništa što je klijent učinio na vlastitom uređaju nije moglo to spriječiti.

Kanal za posrednike u kreditima također je vrijedan pažnje. Stranice izrađene za vanjske partnere često se nalaze na rubu glavnog sigurnosnog sustava banke. Moraju biti dostupne s mnogih lokacija i uređaja, što strogu i dosljednu autentifikaciju čini još važnijom. Incident pokazuje kako jedna slabo čuvana stranica može poništiti zaštitu na drugim mjestima.

To se uklapa u obrazac koji smo pratili u južnokorejskom financijskom sektoru. Podatkovni prekršaj u NRL Capital Lend, podružnici najvećeg domaćeg kreditora LEADCORP-a, također je izložio osjetljive financijske i osobne podatke povezane s kreditima. Institucije i tehnički detalji razlikuju se, ali pouka je slična: podaci žive na korporativnim sustavima i tamo se i gube.

Što VPN može, a što ne može nakon bankovnog prekršaja

Budući da je ovo stranica usmjerena na VPN, vrijedi biti izravan: potrošački VPN ne bi spriječio ovaj prekršaj. VPN šifrira promet između vašeg uređaja i VPN poslužitelja te može sakriti vašu IP adresu od stranica koje posjećujete. Ne kontrolira kako banka autentificira korisnike na vlastitim web stranicama i ne može zaštititi zapise pohranjene na bankinim poslužiteljima.

Gdje VPN može pomoći jest u svakodnevnim navikama koje smanjuju vašu širu izloženost:

  • Zaštita vaše veze na javnom Wi-Fi-ju kada provjeravate račune.
  • Ograničavanje koliko mrežnih informacija drugi mogu vidjeti o vašem pregledavanju.

To je korisno, ali rješava drugi rizik. Ako čujete da je VPN rješenje za curenje bankovnih podataka, budite skeptični. Odgovornost ovdje leži na instituciji i na regulatorima koji mogu provoditi inspekcije i kažnjavati propuste. Južna Koreja je pokazala da će učiniti ovo potonje: zemlja je nedavno izrekla rekordnu kaznu za podatkovni prekršaj protiv Coupanga.

Koraci koje Shinhanovi klijenti trebaju poduzeti sada

Ne možete popraviti bankin poslužitelj, ali možete ograničiti što prekršaj omogućuje nekome da učini. Ako ste Shinhanov klijent ili vjerujete da biste mogli biti među 25.000:

  1. Pričekajte i provjerite službenu obavijest. Oslonite se na komunikaciju same banke putem njezine službene aplikacije ili web stranice. Ne postupajte prema poveznicama u neočekivanim SMS-ovima ili e-porukama.
  2. Očekujte phishing. Procurili osobni i kreditni podaci često se koriste kako bi lažni pozivi ili poruke bili uvjerljiviji. Pozivatelj koji zna vaše podatke nije dokaz da je legitiman. Prekinite poziv i nazovite banku koristeći broj kojemu već vjerujete.
  3. Pregledajte svoje račune i kreditnu aktivnost. Potražite nepoznate transakcije, nove zahtjeve za kredit ili kreditne upite koje niste podnijeli.
  4. Promijenite lozinke gdje ima smisla. Prijavljeni propust bio je kvar kontrole pristupa, a ne krađa lozinke, ali ažuriranje bankovne lozinke i omogućavanje dvofaktorske autentifikacije i dalje je dobra higijena, osobito ako ponovno koristite lozinke.
  5. Čuvajte zapise o bilo kojem postupku naknade. Banka je obećala nadoknaditi štetu pogođenim klijenatima, stoga sačuvajte sve obavijesti i korespondenciju.

Što to znači za vas

Podatkovni prekršaj Shinhan Banke podsjetnik je da je velik dio vašeg financijskog rizika izvan vaše kontrole. Vaše vlastite sigurnosne navike i dalje su važne, ali ne mogu zamijeniti kvalitetno inženjerstvo u institucijama koje čuvaju vaše podatke. Najoraktičniji odgovor je pretpostaviti da neki od vaših podataka mogu cirkulirati i učiniti ih manje korisnima kriminalcima: provjeravajte kontakte, pratite svoj kredit i koristite jake, jedinstvene vjerodajnice.

Također pomaže sagledati incidente u kontekstu. Južna Koreja je nedavno svjedočila nekoliko velikih izlaganja, uključujući podatkovni prekršaj Fast Campusa, koji je zahvatio do milijun ljudi. Regulatori također šire svoj doseg, kao što pokazuje NIS koji dobiva ovlasti za istraživanje korporativnih hakiranja na temelju sumnje.

Ključni zaključci i sljedeći koraci

FSS-ova istraga trebala bi razjasniti kako je stranica za posrednike u kreditima ostavljena otvorenom i što je izloženo. Do tada, pregledajte vlastitu izloženost: provjerite svoje račune, budite oprezni s neželjenim kontaktima i pojačajte svoje prijave. Za više konteksta o ponavljajućem obrascu u financijskom sektoru zemlje, počnite s našim izvještavanjem o podatkovnom prekršaju kredita NRL Capital Lend, a zatim čitajte dalje o ostalim južnokorejskim incidentima navedenima gore. VPN je izvrstan alat za privatnost, ali nakon ovakvog podatkovnog prekršaja Shinhan Banke, oprez i brzo djelovanje ono su što vas štiti.