Community Trust ScoreVérifié
La Commission des services financiers (FSC) de la Corée du Sud a identifié les entreprises d’actifs virtuels Streami et Pravang parmi les 16 entreprises financières touchées par des violations récentes de données clients. Cette divulgation, publiée le 14 octobre, classe les deux entreprises crypto dans la même catégorie que les grands prêteurs traditionnels, y compris Shinhan Bank, Kookmin Bank, Busan Bank et Hana Bank. Le régulateur a estimé qu’environ 100 000 éléments de données clients avaient été exposés au sein de ces institutions.
Portée de l’exposition des données
Streami exploite la plateforme Gopax, tandis que Pravang est l’autre entreprise crypto nommée dans le communiqué de la FSC. Le régulateur a déclaré que les données exposées comprenaient des noms, des coordonnées, des numéros d’enregistrement des résidents et des adresses e-mail. La FSC n’a pas publié de répartition par entreprise des données exposées. À la date de la réunion du 14 octobre, les autorités n’avaient pas identifié de mots de passe de comptes ou de numéros de cartes de crédit fuités. Le Service de surveillance financière et l’Institut de sécurité financière enquêtent actuellement sur les méthodes d’attaque. Ils déterminent également si les incidents sont liés, si un attaquant commun en est responsable et si l’intelligence artificielle a été utilisée dans les violations.
Le nombre d’entreprises touchées pourrait augmenter. Les autorités ont partagé les adresses IP des attaquants avec les entreprises, qui vérifient désormais leurs systèmes à l’aide de ces adresses. Ce processus en cours signifie que la liste initiale de 16 entreprises n’est pas définitive. La réponse sectorielle a déjà identifié des vulnérabilités au-delà de la liste des violations confirmées. Les 555 entreprises du secteur ont terminé une liste de contrôle d’auto-évaluation en 12 points d’ici le 8 octobre. Parmi celles-ci, 425 ont déclaré que leurs dispositions de sécurité étaient appropriées. Les 130 entreprises restantes ont signalé des domaines nécessitant des améliorations.
Réponse réglementaire et nouvelles règles
Les lacunes identifiées dans l’auto-évaluation portaient principalement sur les correctifs de sécurité et les systèmes de surveillance. Les lacunes signalées comprenaient des mises à jour logicielles manquantes, une gestion faible des systèmes non plus pris en charge par leurs fournisseurs, l’absence de surveillance 24h/24 et des faiblesses dans l’authentification ou les contrôles d’accès. Les entreprises ont soumis des plans de remédiation et ont commencé à prendre des mesures correctives. La FSC prévoit une révision complète des connexions externes, de l’authentification et des contrôles d’accès. Cette révision vise à établir des lignes de reporting et des responsabilités plus claires pour les dirigeants, les directeurs de la sécurité de l’information et les directeurs de l’information.
Une proposition exigerait des évaluations des vulnérabilités au moins deux fois par an, en commençant par les grandes entreprises financières. L’exigence générale existante pour les entreprises financières et les entreprises de services financiers électroniques est un test annuel. Les sites Web externes sont déjà tenus d’être vérifiés deux fois par an. Les régulateurs prévoient également un partage plus rapide des informations sur les menaces détectées par les entreprises. Cela inclut les informations sur le niveau de menace par IA et l’infrastructure basée sur l’IA pour trouver des vulnérabilités. Le package comprend des plans pour un soutien à la sécurité accru pour les petites entreprises, ainsi qu’une responsabilité accrue des dirigeants et des sanctions plus efficaces. La FSC entend accélérer l’examen de l’assouplissement des règles sur la séparation des réseaux informatiques pour permettre des défenses basées sur l’IA.
L’Unité de renseignement financier a séparément divulgué des décisions de blocage pour 27 sites Web crypto non enregistrés le 13 octobre. Cette liste incluait KuCoin et MEXC. Ces actions se sont produites en parallèle de la divulgation plus large de la FSC concernant les violations de données. La portée et l’horaire détaillés de l’inspection n’avaient pas encore été convenus au moment de la publication. La FSC n’a pas précisé si chaque mesure proposée pour les entreprises financières couvrirait explicitement les entreprises d’actifs virtuels dans le cadre réglementaire final.
Questions Fréquentes
Quelles entreprises crypto la FSC a-t-elle nommées dans la violation ?
La FSC a nommé Streami, qui exploite la plateforme Gopax, et Pravang. Elles ont été listées parmi les 16 entreprises financières touchées par des violations récentes de données clients.
Combien de données clients ont été exposées ?
La FSC a estimé qu’environ 100 000 éléments de données clients avaient été exposés. Cela comprenait des noms, des coordonnées, des numéros d’enregistrement des résidents et des adresses e-mail au sein des entreprises touchées.
