[独家]遭黑客攻击的新韩、KB国民、韩亚，安全自查也被评为“有待改进”
新韩银行1项、KB国民银行2项、韩亚银行2项被评为“未达标”
从认证、授权验证到会话完整性……发现安全控制措施存在不足
KB国民银行、韩亚银行最终检查均评为“符合要求”……关键在于安全体系能否在实战中发挥作用
据确认，近期遭遇黑客攻击、客户信息遭泄露的新韩银行、KB国民银行和韩亚银行，根据金融监管部门要求开展的信息技术安全自查中，均有部分项目被评为“未达标”。在遭受黑客攻击的主要商业银行中，发生个人信息泄露的新韩银行、KB国民银行和韩亚银行，安全漏洞暴露无遗。主要银行承载着大规模金融交易，却接连发生信息泄露事故，因此有意见指出，应提高现有安全体系的实际效能。
据国民力量党议员Park Seonghun办公室获得的《金融业应对侵害事故信息技术安全自查清单》，新韩银行在12项检查项目中有1项被评为未达标。KB国民银行最初提交时将2项标记为未达标，但表示在最终检查中，12项均被确认符合要求。韩亚银行在首次检查中也将2项评为未达标，但随后完成整改，并在最终检查结果中将所有项目列为符合要求。另一方面，虽然我利银行和NH农协银行也遭到黑客攻击，但尚未确认发生客户信息泄露，两家银行均将12项标记为“符合要求”。不过，由于检查由金融机构自行开展，即使获得符合要求的评定，也很难断定其完全不存在潜在安全漏洞。
此次检查是金融监管部门为应对近期针对金融业的全方位黑客攻击，要求银行和信用卡公司等紧急检查安全漏洞及应对体系而开展的。此前，9月27日至10月3日期间，新韩、韩亚、KB国民、釜山、NH农协和我利等6家银行遭到外部黑客攻击。新韩银行约有2.5万人的个人信息遭泄露，KB国民银行有119人受影响，包括99名客户和20名员工；韩亚银行则有89人的个人信息遭泄露。
此次自查中，新韩、KB国民和韩亚银行共同评为未达标的，是有关控制措施的项目，内容涉及验证应用程序接口等服务请求的完整性，以及阻止水平权限提升。即使是已登录用户，也应在服务请求阶段确认访问权限，防止其查询其他客户的信息；相关检查项目未能确认此类控制措施是否有效运行，因此被评为未达标。会话完整性验证是确认用户登录状态是否正常维持，以及服务请求是否遭到篡改的程序。阻止水平权限提升，则是采取措施，防止用户未经授权访问其他同等权限级别客户的信息。如果这类安全体系未能正常运行，就可能导致他人不当访问其他客户的信息。
![[独家]遭黑客攻击的新韩、KB国民、韩亚，安全自查也被评为“有待改进”](http://www.asiae.co.kr/news/img_view.htm?img=2026101415034660652_1791957825.jpg)
KB国民银行和韩亚银行还分别将检查对外系统（如网页）是否存在认证、授权验证功能缺失，以及访问控制漏洞等项目评为“未达标”。此次黑客事件中，客户信息遭泄露的入口也都是可从外部访问的业务系统，包括新韩银行面向贷款招揽人员的查询服务、KB国民银行的员工移动办公支持系统，以及韩亚银行的营业支持系统。不过，目前尚无法确认，此次自查发现的未达标事项是否与实际遭黑客利用的漏洞相同。这些银行表示，已完成针对自查发现的未达标事项所采取的整改措施。
有意见指出，仅凭自查结果难以判断金融公司的实际安全应对能力。关键在于，发生真实黑客攻击时，安全控制措施能否有效运行。现任总统直属国家人工智能战略委员会安全特别委员会顾问委员的Stealien公司代表Park Chanam表示：“必须全面掌握暴露在外部的系统清单，并确认查询客户信息的各个路径是否都进行了身份认证和权限验证。发现漏洞后，还要重新验证整改结果；每当新增服务或外部连接时，也有必要更新检查范围。”
议员Park Seonghun强调：“此次安全事故显然是长期以来应对体系松懈所导致的人为事故。金融业一旦失去信任便无法生存，因此即使从现在开始，也必须立即从头检查安全现状，并马上改进存在的问题。”
另一方面，据金融委员会称，在金融业黑客事故前后确认发生侵害事故的金融公司遍及银行等整个金融业，共有16家。信息泄露规模接近10万条。金融监管部门决定，为防范人工智能引发的黑客威胁，对金融公司的安全体系和管理系统进行全面检查。此外，对于客户数量较多的大型金融公司，将把漏洞检查评估频率提高至每年两次以上。
版权所有 © 阿视亚经济。未经许可不得转载，禁止用于AI训练及使用。
