继大信证券38490名客户的个人及信用信息外泄的事实曝光后,未来资产资产运用公司和虚拟资产交易所Bithumb也接连遭遇外部入侵,金融界的安全担忧正在蔓延。随着外部关联服务器和业务系统而非核心交易系统也成为攻击目标,要求全面提升金融公司安全管理水平的呼声日益高涨。
据金融投资业界28日消息,大信证券于17日在与全权委托投资非面对面证券账户开立相关联的服务器上,检测到异常外部访问迹象。公司封堵了攻击所用的互联网地址(IP)等,并向有关当局报告后,与金融保安院一起检查了伪装成正常请求的6万余条信号,于26日确认客户信息已外泄。
外泄的信息包括客户姓名、电子邮箱、住址、通信ID、银行名称、出入金账号、大信证券综合账号和手机号码等8项,其中账号、手机号码等部分信息已加密。大信证券解释称,迄今未发现核心业务系统被非法攻破或发生二次损失的迹象。
未来资产资产运用公司最近也发现,外部IP异常访问了部分网络系统并导致信息外泄。公司立即切断访问路径并向金融当局报告,通过网络应用防火墙(WAF)进行封堵并停用存在漏洞的功能。目前已查明的外泄属于一般业务系统相关信息,未发现直接入侵服务器和数据库的痕迹。据悉,也没有居民登记号码等唯一识别信息、敏感信息和个人信用信息外泄的迹象。公司正与外部安全专业机构一起调查事故原因和影响范围。
Bithumb于27日发现内部移动办公软件遭到未经许可的外部访问,导致个人信息外泄。Bithumb已向相关机构报告并正在确认外泄规模和范围,尚未披露是否包含交易所会员信息。
金融当局对接连发生的事故也表现出警惕。金融监督院院长李赞镇当天在与8大银行控股公司董事会议长举行的座谈会上表示:“据我所知,昨天某大型金融投资公司整体上发生了黑客事故。”对于近期金融公司的入侵事故,他评价称:“在网络攻击手法日益高级化的同时,攻击对象扩大到非核心设施,呈现出全方位的态势。”
李院长警告称,利用AI(人工智能)的黑客攻击发现安全漏洞并同时攻击多处的情况可能成为常态。他说,金融公司必须建立自行发现并消除漏洞的自主防御体系。
他强调:“不应再重复把IT安全视为附带业务而仅形式上遵守监管要求,或者把IT安全投资视为‘成本’而不投入足够人力和资源的做法。”他接着表示,IT安全是支撑客户财产和信息保护以及金融信任的核心业务,请董事会带头提升安全能力。
金融界对外泄个人信息造成的二次损失也十分担忧。他们认为,即使眼下尚未出现金钱损失,外泄的信息也可能被用于冒充金融公司的网络钓鱼等,因此应尽快掌握受害范围,加紧采取客户保护措施。