40 bancos y tarjeteros presentan autoinspecciones; se solicitan resultados y situación actual de respuesta
Demandantes inician reclutamiento para demanda civil; cautela respecto a divulgación de detalles de seguridad
Mientras que los incidentes de fuga de información personal se multiplican en el sector financiero, el proceso de auditoría parlamentaria se intensifica, generando oleadas de solicitudes de diputados por resultados de autoinspecciones de seguridad y documentos de respuesta ante crisis de las instituciones financieras. Tanto el sector financiero como las autoridades reconocen que es necesario verificar las causas de los incidentes y determinar responsabilidades; sin embargo, expresan preocupación por la exposición excesiva de información sensible, como rutas de ataque y sistemas vulnerables. También se señala que la respuesta repetitiva a solicitudes de información podría dispersar recursos humanos que son críticos para las tareas de remediación y prevención de daños adicionales.
Según informó el sector financiero el día 7, recientemente 40 instituciones entre bancos y tarjeteros completaron las autoinspecciones requeridas por las autoridades financieras y presentaron los resultados a través de la red interna compartida de la Comisión Supervisora Financiera. Las entidades financieras realizaron inspecciones directas en 12 categorías de evaluación, incluyendo rutas potenciales de infiltración externa, controles de acceso a sistemas e identificación de accesos anómalos.
Los diputados parlamentarios también están solicitando resultados de autoinspecciones por institución financiera y datos sobre ataques y defensas de hackeo recientes. A medida que los incidentes de seguridad en cadena emergen como cuestión crítica del sector financiero, se reporta un crecimiento rápido en las solicitudes de documentación relacionada.
En este contexto, se han divulgado públicamente de forma individual algunos documentos, como el caso de la defensa de ataque de Toss Bank y los resultados de autoinspección de Busan Bank.
Dentro de las autoridades financieras surge preocupación de que información detallada relacionada con seguridad pueda circular externamente más de lo necesario. Se advierte que si se revelan específicamente las rutas utilizadas en los ataques, los sistemas vulnerables y los mecanismos de autenticación y control de acceso, los atacantes podrían utilizarlo como pista para identificar puntos débiles adicionales.
Un representante del sector financiero manifestó: "Simplemente porque se bloqueó un ataque o porque no hubo ataque, revelar esto en detalle podría convertirse en un nuevo objetivo de ataque".
También se destaca que la elaboración repetida de documentación puede dispersar la capacidad operativa de respuesta ante crisis en las instituciones. Se indica que, dado que cada diputado solicita documentos con alcances y formatos diferentes, incluso contenido similar debe elaborarse de forma separada en múltiples ocasiones.
Gwak Jin, profesor del Departamento de Ciberseguridad de la Universidad Ajou, señaló: "Este es el momento en que las instituciones financieras y agencias de investigación deben identificar las causas de los incidentes, verificar daños adicionales y elaborar medidas de respuesta", y agregó "la capacidad de respuesta en el terreno puede dispersarse por la presentación de documentación igual o similar".
Continuó diciendo: "No solo en el sector financiero, sino considerando la posibilidad de que los objetivos de ataque se trasladen a otras industrias e infraestructuras críticas y públicas, es necesario proceder a inspecciones preventivas anticipadas".
Mientras tanto, se han iniciado preparativos para demandas de indemnización por daños de víctimas de fuga de información personal. La firma jurídica Sedam recientemente comenzó el reclutamiento de demandantes para una demanda civil relacionada con la fuga de información personal de Shinhan Bank.
Shin Al-chan, socio director de Sedam, señaló: "Considerando que el número de clientes afectados por la fuga de información de Shinhan Bank es aproximadamente 25.000, se estima que alrededor de 200 a 300 personas participarán en la demanda".
Hasta ahora, se reporta que el número de personas que han expresado intención de participar en la demanda no es significativo. Un profesional del ámbito legal comentó: "Es necesario verificar el alcance real de la información filtrada por la institución financiera", y agregó "si se determina que existe probabilidad de éxito, se espera que otros lugares también recluten participantes para la demanda".
* Este artículo ha sido traducido por IA.