Витік даних Shinhan Bank наразив на ризик особисту інформацію близько 25 000 клієнтів, і Фінансова наглядова служба Південної Кореї (FSS) розпочала перевірку на місці. Причиною став не вкрадений пароль і не заражений телефон. Це була вебсторінка, яка впускала сторонніх, коли мала б запитувати, хто вони.
Що сталося в Shinhan Bank
Згідно з повідомленнями про інцидент, мобільна вебсторінка, яку Shinhan Bank створив для кредитних консультантів, дозволяла несанкціонований зовнішній доступ. Сторінка призначалася для вузької групи людей, які працюють із банком над кредитами. Натомість хтось поза цією групою зміг отримати до неї доступ і через неї — до даних клієнтів. Постраждала група — близько 25 000 клієнтів.
Публікації корейських і регіональних видань свідчать, що банк публічно вибачився та пообіцяв компенсувати постраждалим клієнтам. Місцеві ЗМІ також зазначають, що FSS, фінансовий регулятор Південної Кореї, проводить перевірку на місці. Окремі повідомлення вказують, що приблизно в той самий час у KB Kookmin Bank було розкрито менший витік — 119 клієнтських записів, хоча це окремий інцидент.
Деякі видання, посилаючись на Yonhap, повідомили, що в атаці підозрюють використання ШІ-інструментів. Ця деталь досі описується як підозра, тож ставтеся до неї обережно, доки слідчі її не підтвердять.
Як обхід автентифікації розкрив дані клієнтів
Обхід автентифікації — це вразливість, яка дозволяє комусь отримати доступ до захищеної системи, не довівши належним чином, хто він. Зазвичай сторінка для кредитних консультантів перевіряла б логін, токен сесії або інший обліковий дані, перш ніж показувати будь-які записи. Коли ця перевірка відсутня, недосконала або її можна обійти, сторінка може передати дані будь-кому, хто знає, де шукати.
Це проблема контролю доступу на стороні сервера. Клієнт ніколи не торкався вразливої сторінки. Його дані зберігалися в системі, яку банк або люди, з якими він працює, були зобов'язані захищати. Ніщо, що клієнт робив на власному пристрої, не могло цього запобігти.
Канал кредитних консультантів також вартий уваги. Сторінки, створені для зовнішніх партнерів, часто перебувають на межі основної системи безпеки банку. Вони мають бути доступними з багатьох локацій і пристроїв, що робить сувору, послідовну автентифікацію ще важливішою. Інцидент показує, як одна слабо захищена сторінка може звести нанівець захист в інших місцях.
Це вписується в закономірність, яку ми висвітлювали у фінансовому секторі Південної Кореї. Витік даних у NRL Capital Lend, дочірній компанії найбільшого кредитора країни LEADCORP, також розкрив чутливу кредитну фінансову та особисту інформацію. Установи та технічні деталі різняться, але урок схожий: дані зберігаються на корпоративних системах, і саме там вони втрачаються.
Що VPN може і не може зробити після злому банку
Оскільки це сайт, присвячений VPN, варто бути відвертими: споживчий VPN не зупинив би цей витік. VPN шифрує трафік між вашим пристроєм і VPN-сервером, і він може приховати вашу IP-адресу від сайтів, які ви відвідуєте. Він не контролює, як банк автентифікує користувачів на власних вебсторінках, і не може захистити записи, що зберігаються на серверах банку.
Де VPN може допомогти — це в повсякденних звичках, які зменшують вашу ширшу експозицію:
- Захист вашого з'єднання в публічних Wi-Fi мережах, коли ви перевіряєте рахунки.
- Обмеження того, скільки інформації на мережевому рівні інші можуть бачити про ваші перегляди.
Це корисно, але стосується іншого ризику. Якщо ви чуєте, що VPN — це вирішення проблеми витоку банківських даних, ставтеся скептично. Відповідальність тут лежить на установі та на регуляторах, які можуть перевіряти й карати за недоліки. Південна Корея показала, що робитиме останнє: країна нещодавно винесла рекордний штраф за витік даних проти Coupang.
Кроки, які клієнтам Shinhan слід зробити зараз
Ви не можете виправити сервер банку, але можете обмежити те, що витік дозволяє комусь зробити. Якщо ви клієнт Shinhan або вважаєте, що можете бути серед тих 25 000:
- Чекайте на офіційне повідомлення та перевіряйте його. Покладайтеся на комунікацію від самого банку через його офіційний застосунок або вебсайт. Не переходьте за посиланнями в несподіваних SMS чи електронних листах.
- Очікуйте фішингу. Витік особистих і кредитних даних часто використовується, щоб зробити шахрайські дзвінки чи повідомлення переконливішими. Той, хто телефонує й знає ваші дані, — не доказ того, що він законний. Покладіть слухавку та зателефонуйте в банк за номером, якому ви вже довіряєте.
- Перевірте свої рахунки та кредитну активність. Шукайте незнайомі транзакції, нові кредитні заявки або кредитні запити, яких ви не робили.
- Змініть паролі там, де це має сенс. Про вразливість повідомлялося як про збій контролю доступу, а не крадіжку пароля, але оновлення банківського пароля та ввімкнення двофакторної автентифікації все одно є хорошою гігієною, особливо якщо ви повторно використовуєте паролі.
- Зберігайте записи про будь-який процес компенсації. Банк пообіцяв компенсувати постраждалим клієнтам, тож збережіть будь-які повідомлення та листування.
Що це означає для вас
Витік даних Shinhan Bank — нагадування, що значна частина вашого фінансового ризику поза вашим контролем. Ваші власні звички безпеки все ще важливі, але вони не можуть замінити якісну інженерію в установах, які зберігають ваші дані. Найпрактичніша відповідь — припустити, що деякі ваші дані можуть циркулювати, і зробити їх менш корисними для злочинців: перевіряйте контакти, стежте за своїм кредитом і використовуйте надійні, унікальні облікові дані.
Також корисно бачити інциденти в контексті. Південна Корея нещодавно пережила кілька великих витоків, зокрема витік даних Fast Campus, який торкнувся до одного мільйона людей. Регулятори також розширюють свої повноваження, як показує набуття NIS повноважень розслідувати корпоративні зломи за підозрою.
Ключові висновки та наступні кроки
Розслідування FSS має з'ясувати, як сторінку кредитних консультантів залишили відкритою і що було розкрито. До того часу перегляньте власну експозицію: перевірте свої рахунки, будьте обережні з небажаними контактами та посильте свої логіни. Для більшого контексту щодо повторюваної закономірності у фінансовому секторі країни почніть з нашого висвітлення витоку кредитних даних NRL Capital Lend, а потім читайте про інші південнокорейські інциденти вище. VPN — це чудовий інструмент приватності, але після такого витоку даних Shinhan Bank саме пильність і швидкі дії захищають вас.
