Higit 1 Milyong Pagtatangka ng Cyberattack ang Hinarap ng Bangko Sentral at mga Bangko ng Estado ng South Korea

Sa loob ng siyam na buwan, nalampasan na ang kabuuang bilang noong 2025

Naitala ng bangko sentral ng South Korea at tatlong nagpapautang na pag-aari ng estado ang 1,024,478 pagtatangka ng pag-hack mula Enero hanggang Setyembre 2026, na mas mataas nang 89,620, o 9.6%, kaysa 934,858 pagtatangkang natukoy sa buong 2025. Iniulat ng mga institusyon na walang matagumpay na paglabag sa seguridad mula sa mga pagtatangkang ito, kahit na nalantad ang impormasyon ng mga customer sa magkakahiwalay na pag-atake sa mga komersiyal na bangko.

Ayon sa mga bilang na isinumite kay Kang Min-kuk, mambabatas ng People Power Party, at inilabas noong Oktubre 11, umabot sa 4,986,964 ang pinagsama-samang pagtatangka mula 2020 hanggang Setyembre 2026. Umabot sa 91.9% ng kabuuang ito ang bahagi ng Industrial Bank of Korea (IBK), na sumasalamin sa malawak nitong serbisyo ng internet at mobile banking para sa mga indibidwal at korporasyon.

Mahalagang maunawaan ang pagkakaiba ng mga pagtatangkang pag-atake at kumpirmadong paglabag sa seguridad. Hindi pinatutunayan ng natukoy na pagtatangka na nakapasok ang umaatake sa sistema o nagnakaw ng impormasyon. Sa kabilang banda, hindi nangangahulugang walang serbisyong kaugnay nito o panlabas na tagapagbigay-serbisyo ang nagkaproblema o nalantad dahil lamang walang matagumpay na panghihimasok sa datos na ito.

Makikita ang pagkakaibang ito sa magkakahiwalay na insidente. Nalantad noong Mayo at Hunyo 2026 ang impormasyon ng 186 na empleyado ng Bank of Korea matapos mapasok ang sistema ng isang panlabas na tagapagbigay ng pagsasanay. Nag-ulat din ang mga komersiyal na bangko ng mga pagtagas ng datos ng customer, kaya iniutos ng mga regulator ang inspeksiyon sa mga sistemang naa-access mula sa internet, mas matibay na pagpapatunay ng pagkakakilanlan at pagkontrol sa pag-access, at higit na pagbabahagi ng mga paraan ng pag-atake at kahina-hinalang IP address.

Hindi lang dami ng mga pag-atake ang nagpapabigat sa sitwasyon. Inilalarawan sa mga isiniwalat sa parlyamento ang mga badyet para sa seguridad na hindi lubos na nagamit, hindi pantay-pantay na bilang ng kawani sa mga nagpapautang na pag-aari ng estado, at umuusbong na banta mula sa mga tool ng artificial intelligence na nagpapabilis sa paghahanap ng mga kahinaan.

Gaano kabilis dumami ang mga natukoy na pagtatangka?

Ipinakikita ng taunang bilang ang tuluy-tuloy na pagtaas mula 2020. Pagsapit ng Setyembre 2026, nasa humigit-kumulang 2.86 na ulit na ito ng 358,800 pagtatangkang naitala sa buong 2020. Kapansin-pansin ang paghahambing dahil siyam na buwan lamang ang saklaw ng pinakahuling panahon, hindi isang buong taon.

Ipinakikita rin ng talaan na hindi nagsimula ang pagdami sa pinakahuling mga paglabag sa seguridad sa mga komersiyal na bangko:

• 2020: 358,800 pagtatangka sa apat na institusyon.
• 2021: 564,430 pagtatangka.
• 2022: 585,563 pagtatangka.
• 2023: 738,312 pagtatangka.
• 2024: 780,524 pagtatangka.
• 2025: 934,858 pagtatangka. Nagbukas noong Oktubre ang Gyeonggi IT Center ng Bank of Korea.
• Enero hanggang Setyembre 2026: 1,024,478 pagtatangka.
• Oktubre 11, 2026: Inilabas ang pinakabagong mga bilang sa pamamagitan ni Kang.

Sinusukat ng mga natukoy na pagtatangka ang aktibidad na nasagap ng mga sistema ng seguridad, hindi ang bilang ng mga indibidwal na umaatake o matagumpay na pagpasok sa mga sistema. Maaaring makabuo ng maraming alerto ang paulit-ulit at awtomatikong mga kahilingan. Ipinakikita rin ng paliwanag ng IBK na mahalaga sa paghahambing ng mga institusyon ang lawak ng mga serbisyong naa-access ng mga nasa labas.

May maliit na hindi pagtutugma sa mga nailathalang kabuuan: kapag pinagsama ang mga nakalistang taunang bilang, 4,986,965 ang kalalabasan, isa na mas mataas kaysa sa iniulat na pinagsama-samang kabuuang 4,986,964. Hindi binabago ng pagkakaibang ito ang iniulat na padron o ang malaking bahagi ng IBK sa mga pagtatangka.

Bakit IBK ang may pinakamalaking bahagi ng aktibidad

Nagtala ang IBK ng humigit-kumulang 4.584 milyong pagtatangka sa pinagsama-samang panahon. Sumunod ang Korea Development Bank (KDB) na may 399,379, habang nagtala ang Bank of Korea ng 3,076 at ang Export-Import Bank of Korea ng 510.

Iniugnay ng IBK ang mas mataas nitong bilang sa mga serbisyo ng internet at mobile na maihahambing ang laki sa mga komersiyal na bangko. Ikinokonekta ng mga serbisyong ito ang bangko sa mga indibidwal at negosyo, kaya mas marami ang pagkakataong makarating ang mapanirang trapiko sa mga sistemang bukas sa publiko.

Hindi pinatutunayan ng mga bilang, sa ganang sarili, na mas mahina ang depensa ng IBK kaysa sa ibang institusyon. Tumutukoy ang paliwanag nito sa dami ng mga serbisyo at natukoy na pagtatangka, samantalang iniulat ng apat na institusyon na walang nagresultang paglabag sa seguridad sa pinagsama-samang datos.

Nagtala ang Gyeonggi IT Center ng Bank of Korea, na kinalalagyan ng mga pangunahing computing server nito, ng 145 pagtatangka mula nang magbukas ito noong Oktubre 2025. Tumutukoy ang bilang na iyon sa isang partikular na pasilidad at hindi dapat ipagkamali sa kabuuang bilang ng bangko sentral sa iba’t ibang sistema at taon.

Pinakakaraniwang naitalang pag-atake ang pagputol sa serbisyo

Umabot sa 2,275,006, o 45.6% ng pinagsama-samang kabuuan, ang mga pagtatangkang denial of service. Layunin ng ganitong pag-atake na hindi mapakinabangan ang isang serbisyo, halimbawa sa pamamagitan ng pagbaha rito ng mga kahilingan o paggamit sa mga computing resource na kailangan para mapagsilbihan ang mga lehitimong user.

Ang sumunod na pinakamalalaking kategorya ay pangangalap ng impormasyon, na may 866,776 pagtatangka; malware, na may 475,026; at hindi awtorisadong pag-access, na may 456,783. Maaaring kabilang sa pangangalap ng impormasyon ang pagsisiyasat sa mga sistema upang matukoy ang software, mga nakabukas na function o kahinaan. Ang malware ay mapaminsalang software, samantalang layunin ng mga pagtatangka ng hindi awtorisadong pag-access na makapasok nang walang wastong pahintulot.

Umabot sa 4,073,591 ang kabuuan ng apat na kategoryang ito. Kaya hindi nito saklaw ang lahat ng pagtatangka sa pinagsama-samang bilang, at hindi tinukoy ang pagkakahati-hati ng natitirang mga kategorya.

Ipinakikita ng malaking bahagi ng denial of service na maaaring lumampas sa pagnanakaw ng impormasyon ang mga epekto ng isang pag-atake. Maaaring mahirapang gamitin ang website o serbisyong transaksiyon ng isang bangko kahit hindi makontrol ng umaatake ang panloob na sistema.

Inilarawan ni Kang Min-kuk, ang mambabatas ng People Power Party na naglabas ng mga bilang, ang mga panganib para sa mga institusyong nangangasiwa sa pananalapi ng publiko at mga korporasyon:

Maaaring makagambala sa mga sistemang pinansiyal sa loob at labas ng bansa ang pag-atake sa isang nagpapautang na pag-aari ng estado at malagay sa panganib ang sensitibong impormasyon ng pamahalaan at mga korporasyon," sabi ni Kang. "Dapat tayong magtayo ng mga panangga laban sa pagdami ng mga cyberattack na pinatatakbo ng AI at makipagtulungan sa mga awtoridad sa pananalapi para magsagawa ng mga simulation ng cyberattack.

Walang iniulat na paglabag, pero hindi ito nangangahulugang ganap na ligtas

Sinabi ng apat na institusyon na walang nagresultang paglabag sa seguridad mula sa mga pagtatangkang naitala mula 2020 hanggang Setyembre 2026. Gayunman, inilalarawan sa magkakahiwalay na pagsisiwalat ang naunang pagkaantala ng serbisyo at ang pagkakalantad ng datos sa isang kontratista ng Bank of Korea.

Paminsan-minsang bumagal ang pag-access sa website ng bangko sentral dahil sa isang distributed denial of service attack noong Disyembre 2023. Noong Mayo at Hunyo 2026, nalantad ang personal na impormasyon ng 186 na empleyado ng bangko sentral matapos mapasok ang sistema ng isang panlabas na tagapagbigay ng pagsasanay. Ipinakikita ng mga insidenteng ito kung bakit kailangang pag-ibahin ang pagkaantala ng serbisyo, panghihimasok sa sariling mga sistema ng bangko at pagkakalantad ng datos sa isang vendor.

Iniulat sa isa pang pagsisiwalat na nakapagtala ang Bank of Korea ng 136 pagtatangka hanggang Oktubre 2, 2026, kumpara sa 30 sa buong 2025. Kabilang sa mga target na naa-access sa internet ang pangunahing website nito, portal ng estadistika pang-ekonomiya at elektronikong aklatan. Sinabi ng bangko sentral na wala itong naitalang matagumpay na panghihimasok, pagkaantala o pagtagas ng datos mula unang bahagi ng Setyembre hanggang Oktubre 2.

Hiwalay na iniulat ng Export-Import Bank ang 283 pagtatangka hanggang Oktubre 5, kumpara sa 36 sa buong 2025. Sa 283 na iyon, 272 ang nagmula sa mga IP address sa ibang bansa. Ipinakikita ng lokasyon ng mga address kung saan tila nagmula ang trapiko, hindi kinakailangang ang nasyonalidad o pisikal na lokasyon ng umaatake.

Sinabi rin sa pagsisiwalat na iyon na nakatukoy ang bangko ng 197 pagtatangka sa nakaraang limang taon. Kapag idinagdag ang pinakabagong 283, 480 ang kabuuan, hindi 510 gaya ng nasa mas malawak na pinagsama-samang ulat. Maaaring ipaliwanag ng magkaibang petsa ng pagsasara ng datos o paraan ng pagbibilang ang pagkakaiba, ngunit walang inilabas na pagtutugma sa mga ulat na ito.

Ano nga ba ang pinatunayan ng babala tungkol sa pag-atake gamit ang AI?

Nagsagawa ang Financial Security Institute ng seminar tungkol sa seguridad ng AI sa pananalapi para sa humigit-kumulang 160 opisyal sa seguridad noong Setyembre 17. Inilarawan sa mga dokumentong nakuha ni Han Chang-min, mambabatas ng Social Democratic Party, ang isang kasong ipinrisinta roon bilang unang pag-atake sa sektor ng pananalapi ng South Korea na kinasangkutan ng AI agent.

Ang AI agent ay software na kayang magsagawa ng sunod-sunod na gawain gamit ang AI model, sa halip na sumagot lamang sa isang tanong. Sa kasong inilarawan sa seminar, inutusan ng isang umaatake ang isang agent na nakabatay sa DeepSeek na hanapin ang mga programang ginagamit sa mga server pinansiyal.

Ayon sa ulat, natukoy at pinagsamantalahan ng agent ang mga kahinaan sa loob ng isang araw, nag-install ng software na nagbibigay-daan sa malayuang pagkontrol, at naghanap sa mga panloob na server. Napigilan ng kumpanyang pinuntirya sa sektor ng pananalapi ang pag-atake bago pa makapag-install ng karagdagang malware. Hindi ibinigay ang pagkakakilanlan nito.

Nag-udyok ang instituto ng tuluy-tuloy na pagsubaybay sa mga sistemang nakalantad sa internet at nagbabala na maaaring hindi mapansin ng inspeksiyong isinasagawa nang minsan o dalawang beses sa isang taon ang ganitong aktibidad. Tinukoy rin nito ang kakulangan sa saklaw ng pagsusuri: kasama sa mga pagsusuri ng kahinaan ang mga application programming interface, ang mga koneksiyong ginagamit ng mga website at app sa pagpapalitan ng datos, ngunit ang mga kumpanyang pinansiyal ang pumipili kung aling mga sistema ang susuriin.

Iniugnay ng mga ulat ang mga sumunod na insidente sa mga komersiyal na bangko sa mga tool ng AI. Gayunman, iniimbestigahan pa ng mga awtoridad ang papel ng AI, kabilang kung nag-awtomatiko ito ng ilang bahagi ng mga pag-atake. Sinabi ni Pangulong Lee Jae Myung na tila nasangkot ang AI, ngunit hindi pa natutukoy ang eksaktong mga pamamaraan. Ipinakikita ng kaso sa seminar ang isang iniulat na kakayahan, hindi patunay na ginamit ang parehong pamamaraan sa bawat kamakailang paglabag.

Kumpirmadong nalantad ang impormasyon ng mga customer ng komersiyal na bangko

Tinukoy ang pitong institusyong pinansiyal sa kamakailang sunod-sunod na insidente ng pag-hack: Shinhan Bank, KB Kookmin Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank at Hyundai Capital.

Isiniwalat ng Shinhan na nalampasan ng isang hindi awtorisadong panlabas na partido ang pagpapatunay ng pagkakakilanlan sa isang serbisyong konektado sa pagpapautang at nakuha ang personal at credit information na kaugnay ng humigit-kumulang 25,000 customer. Kabilang sa mga nalantad na detalye ang mga pangalan, numero ng telepono, taunang kita at kinuwentang limitasyon sa paghiram.

Humingi ng paumanhin si Jung Sang-hyuk, punong ehekutibo ng Shinhan, at nangakong magbibigay ng buong kompensasyon para sa mga pagkaluging may kaugnayan sa insidente. Nangangalap ang isang law firm sa Seoul ng mga customer na naapektuhan para sa panukalang kasong danyos, na may nakatakdang paghahabol na 100,000 hanggang 300,000 won bawat kalahok. Hindi pa inanunsiyo ang petsa ng paghahain.

Sa KB Kookmin, nakompromiso sa isang pag-atake sa sistemang sumusuporta sa mobile work ang impormasyon ng 119 customer. Dumalo sa seminar sa seguridad noong Setyembre ang mga tauhan mula sa KB Kookmin, Hana, Hyundai Capital at Welcome Savings Bank. Kinatawan ang Shinhan ng isang opisyal mula sa grupong pinansiyal nito, samantalang hindi nakalista sa mga dumalo ang BNK Busan.

Ipinakikita ng mga talaan ng pagdalo na nakatanggap ng babala ang ilang organisasyong naapektuhan ilang sandali bago ang mga insidente sa kanila. Hindi nito pinatutunayan kung aling partikular na pagkukulang ang nagbigay-daan sa bawat panghihimasok, o kung mapipigilan sana ito ng isang partikular na hakbang sa pag-iwas.

Hindi katumbas ng aktuwal na gastos sa seguridad ang inilaan na badyet

Ipinakita ng datos na isinumite ng mga awtoridad sa pananalapi kay Park Sung-hoon, mambabatas ng People Power Party, na naglaan ng 438 bilyong won para sa seguridad ng impormasyon noong 2025 ang 20 kumpanyang pinansiyal na pinakamadalas makaranas ng pagkabigo sa IT, ngunit 305 bilyong won lamang ang nagastos. Katumbas ito ng paggamit sa humigit-kumulang 69.6% ng badyet, at may 133 bilyong won na hindi nagamit.

Naglaan ang Shinhan ng humigit-kumulang 45.3 bilyong won at gumastos ng 31.7 bilyong won, na iniulat na 69.9% na paggamit sa badyet. Nasa 40.5 bilyong won ang inilaan nito para sa 2026, humigit-kumulang 10.6% na mas mababa kaysa badyet noong nakaraang taon. Naglaan ang KB Kookmin ng 67.6 bilyong won at gumastos ng 39.3 bilyong won, na katumbas ng 58.1% na paggamit sa badyet.

Inilarawan ni Park Sung-hoon, ang mambabatas na kumuha ng mga bilang sa paggastos, ang pamumuhunan bilang usapin ng tiwala ng publiko:

Hindi maaaring ituring na usapin lamang ng kahusayan sa pamamahala ang kakulangan sa pamumuhunan sa seguridad; usapin ito ng tiwala sa sistemang pinansiyal.

Ipinakikita rin ng mga pagsisiwalat ng mga nagpapautang na pag-aari ng estado na hindi pantay-pantay ang mga mapagkukunan. Bumaba ang bilang ng mga kawani ng KDB para sa seguridad mula 23 sa katapusan ng 2024 tungong 19 sa katapusan ng 2025, bago umakyat sa 22 pagsapit ng Hunyo 2026. May 46 na dedikadong kawani para sa seguridad ang IBK sa katapusan ng 2025, samantalang siyam naman ang Export-Import Bank.

Sa hiwalay na panukat sa mga tauhan ng IBK, umabot sa 72.5 ang pinagsamang bilang ng panloob at outsourced na tauhan, kabilang ang 53.5 panloob na kawani at 19 outsourced na kawani. Hindi dapat ituring na katumbas ng bilang na 46 dedikadong kawani ang mas malawak na panukat na ito. Umabot sa 66.1 bilyong won ang pamumuhunan ng IBK sa seguridad noong 2025, o 15.1% ng kabuuang pamumuhunan nito sa IT.

May mas malaking hindi pagtutugma sa iniulat na badyet ng KDB. Ayon sa mga bilang sa wikang Korean, nasa 17.231 bilyong won ang badyet nito para sa seguridad noong unang hati ng 2026, mula sa 17.611 bilyong won noong 2025. Nasa 172.31 bilyon at 176.11 bilyong won naman ang nasa buod sa Ingles, sampung ulit ng mga halagang iyon. Parehong naglalarawan ang mga ito ng 2.2% na pagbaba.

Iminungkahing pamumuhunan at mas malawak na suliranin sa mga vendor

Isinasaalang-alang ng KB Kookmin ang badyet para sa seguridad ng impormasyon na lampas 100 bilyong won sa 2027, kasabay ng mga pag-upgrade sa mga intrusion detection at prevention system at web firewall. Tumutukoy ang panukala sa laki ng badyet, hindi sa kumpirmadong dagdag na 100 bilyong won.

Plano ng Shinhan ang dagdag na pamumuhunan sa seguridad at pagkuha ng mga espesyalista sa seguridad ng AI at mga ethical hacker. Sinusuri ng Hana ang zero trust architecture, na nangangailangan ng pagsusuri sa pag-access sa halip na awtomatikong pagtitiwala dahil lamang nasa loob ng network ang isang user o device. Isinasaalang-alang ng Woori ang pagtaas ng badyet nang mahigit 20% at pagpapalawak ng pangkat ng mga espesyalista nang mahigit 10%.

Sinabi ng isang kinatawan ng nagpapautang na pag-aari ng estado na nagsasagawa ang mga bangko ng mga penetration test mula sa pananaw ng umaatake at patuloy na palalakasin ang pamumuhunan at mga inspeksiyon. Hindi inanunsiyo ang mga tiyak na deadline para sa pagpapatupad ng mga hakbang na ito.

Ipinakikita ng mga pangyayari sa labas ng sektor ng pagbabangko ang panganib na likha ng mga kontratista at ng pagpapanatili ng datos. Nalantad ang impormasyon ng mahigit 100,000 user ng isang plataporma para sa pagsasanay sa etika sa pampublikong sektor mula sa lumang sistemang pinalitan noong Abril 2025. Itinago ng isang kontratista ang mga lumang rekord sa halip na burahin ang mga ito matapos ang transisyon. Binura rin kalaunan ang natitirang mga rekord.

Iniulat din ng Oasis Security ang mga pinaghihinalaang pagkakalantad ng datos na kinasasangkutan ng Yoido Full Gospel Church at SaRang Church. Kabilang sa materyal na kaugnay ng Yoido ang humigit-kumulang 960,000 rekord ng mga miyembro at 330,000 rekord ng mga donasyon. Hindi pinatutunayan ng dami ng mga rekord na iyon kung ilang natatanging tao ang naapektuhan. Iniimbestigahan ng dalawang simbahan ang mga insidente.

Mga tanong na hindi pa nasasagot

Kabilang sa mga pangunahing tanong na hindi pa nasasagot kung paano nakapasok ang mga umaatake sa mga kamakailang insidente sa mga komersiyal na bangko, gaano kalaki ang naging papel ng AI, at kung maisasakatuparan ang nakaplanong pamumuhunan sa aktuwal na gawaing pangseguridad. Wala pang kumpirmadong iisang teknikal na paliwanag para sa lahat ng pitong institusyong pinansiyal.

Kailangan ding maingat na unawain ang mga bilang ng bangko. Nililimitahan ng magkakaibang panahon ng pag-uulat, mga bilugang bilang ng bawat institusyon at magkakaibang panukat sa bilang ng mga tauhan ang tuwirang paghahambing. Mahalaga ang iniulat na kawalan ng mga paglabag sa seguridad sa apat na pampublikong institusyon, ngunit hindi nito binubura ang hiwalay na ebidensiya ng pagkaantala ng website at pagkakalantad ng datos sa isang vendor.

Inatasan ng mga regulator ang mga kumpanyang pinansiyal na siyasatin ang mga sistemang naa-access mula sa labas, palakasin ang pagpapatunay ng pagkakakilanlan at mga pahintulot, at magpalitan ng impormasyon tungkol sa mga banta. Nanawagan si Kang ng mga kunwaring pag-atake at magkakaugnay na pagsasanay. Ang susunod na praktikal na pagsubok ay kung masasaklaw ng mga hakbang na ito ang aktuwal na mga serbisyo, interface at kontratista kung saan maaaring maabot ang sensitibong impormasyon.

Mahahalagang Punto

• Nagtala ang Bank of Korea at tatlong nagpapautang na pag-aari ng estado ng 1,024,478 pagtatangka ng pag-hack hanggang Setyembre 2026, 9.6% na mas mataas kaysa kabuuan sa buong 2025.
• Umabot sa 91.9% ng iniulat na pinagsama-samang mga pagtatangka mula 2020 ang bahagi ng IBK.
• Denial of service ang pinakamalaking kategorya ng pag-atake, na may 2,275,006 pagtatangka.
• Iniulat ng apat na institusyon na walang paglabag sa seguridad mula sa mga binilang na pagtatangka, habang may magkakahiwalay na insidente ng pagkaantala at pagkakalantad sa tagapagbigay ng pagsasanay ng bangko sentral.
• Sa mga kamakailang insidente sa mga komersiyal na bangko, nalantad ang impormasyon ng humigit-kumulang 25,000 customer ng Shinhan at 119 customer ng KB Kookmin.
• Iniimbestigahan pa ng mga awtoridad kung paano ginamit ang AI sa mga kamakailang pag-atake.
• Gumastos ang 20 kumpanyang pinansiyal ng 305 bilyong won mula sa 438 bilyong won na inilaan para sa seguridad noong 2025.
• Plano o isinasaalang-alang ng ilang bangko ang dagdag na pamumuhunan, ngunit wala pang inanunsiyong tiyak na petsa ng pagkumpleto.