2026.11.05. The Fair Economy — La Comisión de Servicios Financieros (FSC) y el sector financiero debatieron medidas para innovar el sistema de seguridad en la era de la inteligencia artificial (IA). Entre los principales temas figuraron una inspección total de los puntos de contacto externos y los controles internos de unas 580 empresas, la obligación de que las grandes entidades financieras realicen análisis y evaluaciones de vulnerabilidades al menos dos veces al año, y la puesta en marcha de un grupo de trabajo (TF) para eliminar por completo la regulación de separación de redes.
La FSC celebró el día 5, en la sucursal de Yeouido del Instituto de Seguridad Financiera, la "Reunión de Todo el Sector Financiero para la Innovación del Sistema de Seguridad en la Era de la IA", presidida por el presidente de la FSC, Lee Eok-won.
A la reunión asistieron el vicepresidente senior y el subdirector de la división digital y de TI de la Supervisión Financiera (FSS), el director del FSI y el jefe de su Centro de Respuesta Cibernética, y el director del Instituto de Investigación de Seguridad de IA Financiera. También participaron los presidentes de las asociaciones de los sectores bancario, de seguros de vida, de seguros de daños, de inversión financiera y de financiamiento especializado en tarjetas de crédito, así como los de la Asociación Central de Bancos de Ahorro, la Unión de Cooperativas de Crédito (Sinhyup), la Cooperativa Agrícola (Nonghyup), la Cooperativa de Pesca (Suhyup) y la Federación de Cooperativas de Crédito Comunitarias (Saemaul Geumgo). También estuvieron presentes los presidentes de las asociaciones de activos virtuales, de finanzas electrónicas y de préstamos en línea (P2P). En un esfuerzo de coordinación intergubernamental, también asistieron la Oficina de Coordinación de Políticas Gubernamentales, el Ministerio de Ciencia y TIC, el Ministerio del Interior y Seguridad, la Comisión de Protección de Información Personal, la Comisión de Comunicaciones, la Agencia de Policía, la Agencia de Internet y Seguridad de Corea (KISA) y un grupo asesor técnico privado.
Desde el 30 de septiembre, cuando se confirmaron los incidentes de intrusión en el sector financiero, hasta el 3 de noviembre, se reportaron 40 incidentes en 37 empresas. Por sector: 10 en finanzas electrónicas, 5 en inversión financiera, 5 en bancos de ahorro, 4 en bancos, 4 en préstamos en línea, 3 en seguros, 3 en activos virtuales, 2 en financiamiento especializado y 1 en cooperativas financieras. Tras la verificación con listas de verificación en todo el sector financiero el 14 de octubre, se registraron más reportes de corredurías de valores y aseguradoras de tamaño pequeño y mediano, así como de empresas de finanzas electrónicas, de préstamos en línea y de intercambios de activos virtuales.
Se estima que se filtraron aproximadamente 473,000 datos. La mayoría eran información de empleados, nombres de clientes, números de registro de residentes y números de cuenta. No se confirmó la filtración de información que pudiera generar preocupación por pagos fraudulentos, como contraseñas de cuentas.
Algunos pequeños exchanges de activos virtuales, operadores de servicios financieros electrónicos y empresas de Onnu han notificado el robo de fondos por un valor aproximado de 1.000 millones de wones (unos 725.000 dólares). Las transferencias se produjeron en cuentas donde la empresa gestiona de forma integrada los fondos de los clientes, como billeteras calientes de activos virtuales, puntos de consumo o depósitos de Onnu, por lo que no se ha materializado una pérdida directa para los usuarios individuales. El 2 de noviembre, el FSC y la FSS celebraron una reunión urgente de inspección con la participación del Consorcio de Exchanges de Activos Digitales (DAXA) y principales operadores de activos virtuales, exigiendo medidas estrictas de gestión en este sector. El Gobierno emitió una alerta al consumidor el 6 de octubre y publicó las pautas de actuación, además de reforzar la monitorización de transacciones inusuales.
El objetivo de la inspección total son unas 580 empresas, que incluyen a todas las entidades financieras y operadores de finanzas electrónicas, además de los operadores de activos virtuales. También se incluye el sector de los activos virtuales, al que no se aplica la Ley de Transacciones Financieras Electrónicas. Los ataques informáticos recientes no se dirigieron contra los sistemas centrales, que cuentan con una seguridad rigurosa, sino que se concentraron en los puntos de contacto externos de los servicios web y móviles destinados a ventas y atención al cliente, cuya gestión era deficiente por la limitación de personal. Una gestión deficiente de permisos, la elusión de la autenticación en dos pasos y una administración deficiente de las interfaces de programación de aplicaciones (API) fueron los "eslabones débiles" que provocaron buena parte de los daños.
Por ello, se inspeccionarán todos los ámbitos de trabajo accesibles desde el exterior, no solo los servicios al cliente como los sitios web, sino también la gestión de empleados, las tareas internas y las operaciones de colaboración. Los objetivos detallados incluyen los sistemas de autenticación y control de acceso en general, las API de ventas y gestión, el software, incluido el de código abierto, y los sistemas de desarrollo, prueba y operación temporal.
La inspección de controles internos verifica la existencia de normas internas, la aprobación, la autorización, los informes, etc., así como el funcionamiento de los controles internos, la gestión de activos de TI, la operación de los registros de gestión de servicios, el análisis y evaluación de vulnerabilidades y la supervisión de seguridad. También se incluyen los roles del director ejecutivo (CEO), del responsable máximo de protección de la información (CISO) y del responsable máximo de información (CIO). Las instituciones financieras deben realizar primero una autoinspección y, incluso si no encuentran problemas, deben documentar detalladamente el método de inspección y los motivos de la evaluación. Los registros de gestión se revisan nuevamente para incluir servicios omitidos, y luego se inspeccionan. Si el contenido es deficiente o se detectan vulnerabilidades críticas, la Superintendencia Financiera y la Agencia de Seguridad Financiera realizarán inspecciones in situ.
Las conexiones externas innecesarias deberán bloquearse de inmediato, y los servicios con vulnerabilidades que puedan derivar en pérdidas económicas o filtraciones de datos personales, como la consulta de información de otros usuarios, deberán suspenderse hasta que se corrijan. Los servicios importantes que no puedan corregirse de inmediato podrán reanudarse aplicando controles alternativos bajo la aprobación y responsabilidad del CEO, junto con el informe y la aprobación del consejo de administración por parte del CISO. Los sistemas ya incluidos en el registro de gestión deberán quedar revisados antes del 30 de noviembre, y los sistemas no incluidos, junto con la inspección total de los controles internos, antes del 31 de diciembre. El FSS informará por separado sobre los detalles y el método de inspección.
El análisis y la evaluación de vulnerabilidades consisten actualmente en que las entidades financieras reciben al menos una vez al año una inspección de un organismo externo y presentan los resultados a las autoridades financieras. Como el ciclo de inspección es largo y el alcance de la revisión externa no está claramente definido, resultaba difícil examinar incluso los sistemas periféricos, y tampoco existían medios adecuados para hacer cumplir las medidas de corrección. La FSC prevé reducir el ciclo de una a dos veces al año, comenzando por las grandes entidades financieras, e incluir en el objetivo todos los puntos de contacto externos relacionados directa o indirectamente con las transacciones financieras electrónicas.
Se establecerá una base legal para que la autoridad financiera solicite evaluaciones de forma puntual cuando sea necesario una inspección urgente. El borrador de la enmienda al Reglamento de Supervisión Financiera Electrónica, que contiene esto, anunciará cambios regulatorios en noviembre. La enmienda a la Ley de Transacciones Electrónicas Financieras, que impone órdenes de corrección si se deja una vulnerabilidad crítica sin atender y multas coercitivas si no se cumplen, ya ha sido presentada y se apoyará su aprobación en el Parlamento antes del fin del año.
Además del apoyo a través del Instituto de Seguridad de IA Financiera y su centro de asistencia, las entidades financieras pequeñas y medianas recibirán, a partir de diciembre y de forma escalonada, el "servicio integral de defensa con IA" del Instituto de Seguridad Financiera. Este servicio utiliza IA para explorar de manera constante los puntos de contacto externos y los factores de vulnerabilidad, y ofrece incluso prioridades de riesgo y planes de actuación. También se proporcionará una "guía de seguridad personalizada", que distingue las medidas según la capacidad de seguridad de cada entidad, junto con un sistema de alertas por etapas. Para prevenir daños secundarios, se vigilará de forma permanente la circulación de información robada, indicios de simulacros de ciberataques y la aparición de nuevo malware en la dark web y en Telegram.
El índice de phishing basado en IA indica la probabilidad de que una transacción esté relacionada con el phishing por voz, en una escala de 0 a 100. Se introducirá de forma piloto a partir de noviembre en la plataforma de intercambio y análisis de información sobre phishing por voz del sector financiero (ASAP, AI-based anti-phishing Sharing & Analysis Platform). También se espera que mejore la capacidad de detección de las entidades pequeñas y medianas, como las cooperativas financieras y los bancos de ahorro.
Se prevé que en el grupo de trabajo para la eliminación total de la regulación de separación de redes participen el Gobierno, los organismos relacionados, expertos del sector privado y los directivos responsables de todo el sector financiero. Se debatirán medios de seguridad alternativos, como la gestión según la importancia de los datos y el "Zero Trust", un sistema de protección que verifica de forma continua todos los accesos. También se abordarán el papel y las responsabilidades del CEO, el consejo de administración y el CISO, así como las medidas para garantizar la continuidad de los servicios esenciales en caso de un incidente de seguridad.
Las autoridades financieras permiten desde septiembre de 2024 excepciones a la separación de redes relacionadas con el uso de IA y de software como servicio (SaaS), y la excepción relacionada con el uso de SaaS se hizo permanente en abril de este año. También se institucionalizará de forma permanente la medida de flexibilización del uso de IA con fines de seguridad, que actualmente se aplica con carácter urgente mediante un dictamen de no acción.
La FSC planea elaborar e implementar unas 'directrices de control interno de seguridad' basadas en los resultados de la inspección exhaustiva durante el primer trimestre del próximo año. Las deficiencias de gestión que se detecten durante la inspección se tratarán con la mayor flexibilidad posible, siempre que se corrijan de inmediato. Sin embargo, si se produce un incidente después de la inspección, se investigará si la inspección se realizó correctamente y se exigirán responsabilidades de manera estricta. El presidente de la FSC, Lee Eok-won, instó a los CEO de todo el sector financiero a formar inmediatamente equipos de respuesta a emergencias en toda la empresa para hacer frente a la inspección exhaustiva y a las tareas de mejora institucional.
Anteriormente, el 14 de octubre, las autoridades financieras habían informado de que 130 de las 555 entidades financieras (23.4%) habían resultado deficientes en una verificación de seguridad de 12 puntos. Se señalaron la falta de aplicación de los parches de seguridad más recientes, la gestión deficiente de sistemas obsoletos sin soporte técnico del fabricante y la falta de un sistema de monitoreo de seguridad las 24 horas.
En aquel momento se habían confirmado incidentes de seguridad en 16 empresas y filtraciones de información por unos 100.000 casos, pero posteriormente la magnitud de los daños aumentó considerablemente. Ante la controversia sobre la eficacia de la inspección, el presidente del FSS, Lee Chan-jin, anunció el 19 de octubre, durante la auditoría parlamentaria del Comité de Política Pública de la Asamblea Nacional, que se realizaría de nuevo una inspección total.
La Ley actual de Protección de Usuarios de Activos Virtuales obliga a almacenar al menos el 80 % de los activos de los usuarios en cold wallets y a suscribir seguros, fondos de compensación o reservas. Sin embargo, no regula directamente la responsabilidad de indemnización. En la Comisión de Asuntos Financieros del Parlamento se encuentra pendiente una propuesta de ley que imponga responsabilidad de indemnización al operador en caso de hackeo, y la autoridad financiera también está examinando una cláusula de indemnización sin culpa.
0 comentarios
Aún no hay comentarios.