Kebocoran data Shinhan Bank telah menempatkan informasi pribadi sekitar 25.000 nasabah dalam risiko, dan Financial Supervisory Service (FSS) Korea Selatan telah meluncurkan penyelidikan di lokasi. Penyebabnya bukan kata sandi yang dicuri atau ponsel yang terinfeksi. Penyebabnya adalah halaman web yang membiarkan orang luar masuk padahal seharusnya menanyakan siapa mereka.

Apa yang terjadi di Shinhan Bank

Menurut pemberitaan tentang insiden tersebut, halaman web seluler yang dibangun Shinhan Bank untuk pemohon pinjaman memungkinkan akses eksternal yang tidak sah. Halaman itu dimaksudkan untuk sekelompok kecil orang yang bekerja dengan bank dalam urusan pinjaman. Namun, seseorang di luar kelompok itu mampu mengaksesnya dan, melalui halaman itu, data nasabah. Kelompok yang terdampak berjumlah sekitar 25.000 nasabah.

Liputan dari media Korea dan regional menunjukkan bahwa bank tersebut meminta maaf secara publik dan berjanji akan memberikan kompensasi kepada nasabah yang terdampak. Laporan lokal juga mencatat bahwa FSS, regulator keuangan Korea Selatan, sedang melakukan inspeksi di lokasi. Pemberitaan terpisah menyebutkan kebocoran yang lebih kecil terhadap 119 catatan nasabah diungkapkan di KB Kookmin Bank pada waktu yang hampir bersamaan, meskipun itu merupakan insiden yang berbeda.

Beberapa media, mengutip Yonhap, melaporkan bahwa alat AI diduga digunakan dalam serangan tersebut. Detail itu masih digambarkan sebagai dugaan, jadi perlakukan dengan hati-hati sampai penyidik mengonfirmasinya.

Bagaimana bypass autentikasi mengekspos data nasabah

Bypass autentikasi adalah celah yang memungkinkan seseorang mencapai sistem yang dilindungi tanpa membuktikan dengan benar siapa mereka. Biasanya, halaman untuk pemohon pinjaman akan memeriksa login, token sesi, atau kredensial lain sebelum menampilkan catatan apa pun. Ketika pemeriksaan itu hilang, cacat, atau bisa dilewati, halaman tersebut dapat menyerahkan data kepada siapa saja yang tahu di mana harus mencari.

Ini adalah masalah kontrol akses di sisi server. Nasabah tidak pernah menyentuh halaman yang rentan tersebut. Data mereka berada di sistem yang menjadi tanggung jawab bank, atau pihak-pihak yang bekerja dengannya, untuk melindunginya. Tidak ada yang bisa dilakukan nasabah pada perangkat mereka sendiri untuk mencegahnya.

Saluran pemohon pinjaman juga patut dicatat. Halaman yang dibangun untuk mitra eksternal sering berada di tepi sistem keamanan utama bank. Halaman tersebut perlu dapat diakses dari banyak lokasi dan perangkat, yang membuat autentikasi yang ketat dan konsisten menjadi lebih penting. Insiden ini menunjukkan bagaimana satu halaman yang penjagaannya lemah dapat merusak perlindungan di tempat lain.

Ini sesuai dengan pola yang telah kami liput di sektor keuangan Korea Selatan. Sebuah kebocoran data di NRL Capital Lend, anak perusahaan pemberi pinjaman terbesar di negara itu, LEADCORP, juga mengekspos informasi keuangan dan pribadi sensitif terkait pinjaman. Institusi dan detail teknisnya berbeda, tetapi pelajarannya serupa: data itu berada di sistem perusahaan, dan di situlah data itu hilang.

Apa yang bisa dan tidak bisa dilakukan VPN setelah kebocoran bank

Karena ini adalah situs yang berfokus pada VPN, penting untuk bersikap langsung: VPN konsumen tidak akan menghentikan kebocoran ini. VPN mengenkripsi lalu lintas antara perangkat Anda dan server VPN, dan dapat menyembunyikan alamat IP Anda dari situs yang Anda kunjungi. VPN tidak mengontrol bagaimana bank mengautentikasi pengguna di halaman webnya sendiri, dan tidak dapat melindungi catatan yang tersimpan di server bank.

Di mana VPN dapat membantu adalah dalam kebiasaan sehari-hari yang mengurangi paparan Anda yang lebih luas:

  • Melindungi koneksi Anda di Wi-Fi publik saat Anda memeriksa akun.
  • Membatasi seberapa banyak informasi tingkat jaringan yang dapat dilihat orang lain tentang penjelajahan Anda.

Ini berguna, tetapi mengatasi risiko yang berbeda. Jika Anda mendengar bahwa VPN adalah solusi untuk kebocoran data bank, bersikap skeptis. Tanggung jawab di sini berada pada institusi, dan pada regulator yang dapat memeriksa dan menghukum kegagalan. Korea Selatan telah menunjukkan bahwa mereka akan melakukan yang terakhir: negara itu baru-baru ini menjatuhkan hukuman kebocoran data rekor terhadap Coupang.

Langkah yang harus diambil nasabah Shinhan sekarang

Anda tidak dapat memperbaiki server bank, tetapi Anda dapat membatasi apa yang bisa dilakukan seseorang akibat kebocoran. Jika Anda adalah nasabah Shinhan, atau percaya bahwa Anda mungkin termasuk di antara 25.000 orang tersebut:

  1. Tunggu dan verifikasi pemberitahuan resmi. Andalkan komunikasi dari bank itu sendiri melalui aplikasi atau situs web resminya. Jangan bertindak berdasarkan tautan dalam teks atau email yang tidak terduga.
  2. Waspadai phishing. Detail pribadi dan kredit yang bocor sering digunakan untuk membuat panggilan atau pesan penipuan lebih meyakinkan. Penelpon yang mengetahui detail Anda bukanlah bukti bahwa mereka sah. Tutup telepon dan hubungi bank menggunakan nomor yang sudah Anda percayai.
  3. Tinjau akun dan aktivitas kredit Anda. Cari transaksi yang tidak dikenal, aplikasi pinjaman baru, atau pertanyaan kredit yang tidak Anda buat.
  4. Ubah kata sandi di tempat yang masuk akal. Cacat yang dilaporkan adalah kegagalan kontrol akses, bukan pencurian kata sandi, tetapi memperbarui kata sandi perbankan Anda dan mengaktifkan autentikasi dua faktor tetap merupakan kebiasaan yang baik, terutama jika Anda menggunakan ulang kata sandi.
  5. Simpan catatan proses kompensasi apa pun. Bank telah berjanji untuk memberikan kompensasi kepada nasabah yang terdampak, jadi simpan semua pemberitahuan dan korespondensi.

Apa Artinya Bagi Anda

Kebocoran data Shinhan Bank adalah pengingat bahwa sebagian besar risiko keuangan Anda berada di luar kendali Anda. Kebiasaan keamanan Anda sendiri tetap penting, tetapi tidak dapat menggantikan rekayasa yang baik di institusi yang menyimpan data Anda. Respons paling praktis adalah dengan mengasumsikan bahwa sebagian detail Anda mungkin beredar, dan membuatnya kurang berguna bagi penjahat: verifikasi kontak, awasi kredit Anda, dan gunakan kredensial yang kuat dan unik.

Juga membantu untuk melihat insiden dalam konteks. Korea Selatan telah mengalami beberapa kebocoran besar baru-baru ini, termasuk kebocoran data Fast Campus, yang berdampak pada hingga satu juta orang. Regulator juga memperluas jangkauan mereka, seperti yang ditunjukkan oleh NIS yang mendapatkan kekuatan untuk menyelidiki peretasan korporat berdasarkan kecurigaan.

Poin-poin utama dan langkah selanjutnya

Penyelidikan FSS seharusnya mengklarifikasi bagaimana halaman pemohon pinjaman dibiarkan terbuka dan apa yang terekspos. Sementara itu, tinjau paparan Anda sendiri: periksa akun Anda, waspadai kontak yang tidak diminta, dan perketat login Anda. Untuk konteks lebih lanjut tentang pola yang berulang di sektor keuangan negara tersebut, mulailah dengan liputan kami tentang kebocoran data pinjaman NRL Capital Lend, lalu baca tentang insiden Korea Selatan lainnya di atas. VPN adalah alat privasi yang baik, tetapi setelah kebocoran data Shinhan Bank seperti ini, kewaspadaan dan tindakan cepat adalah yang melindungi Anda.