Před týdnem šlo o čtyři jihokorejské banky a 25 tisíce záznamů. Dnes je to sedm finančních firem a přes 68 tisíc postižených klientů, prezident osobně nařídil vyšetřování a regulátor spustil zvláštní měsíční režim. Ale nejde o pokračování stejné zprávy — od 6. října korejský finanční dohled řeší jinou otázku, než jestli se útočníci dostali dovnitř. Řeší, co se stane s daty, která už jsou venku, a jak zabránit tomu, aby je někdo použil na podvod.
Co se stalo
- Rozsah narostl na sedm firem. Podle Korea Times a Korea JoongAng Daily se k Shinhan Bank (25 727 klientů), KB Kookmin (119), Hana Bank (89) a BNK Busan Bank (11 externě zaměstnaných pracovníků) přidaly tři další firmy: spořitelna Yegaram (asi 40 000 klientů — dosud největší jednotlivý únik v této vlně), Welcome Savings Bank (až 2 200 firemních záznamů) a Hyundai Capital (osobní údaje úvěrových makléřů, počet nezveřejněn). Sečtené zveřejněné počty dávají přes 68 tisíc záznamů — číslo, které se objevilo v titulcích, ale samotný regulátor souhrnný počet oficiálně nevydal.
- Prezident se do toho vložil osobně. Podle zprávy agentury Jiji/Star přes Yonhap prezident Lee Jae-myung 4. října nařídil „důkladné vyšetřování a protiopatření“ kvůli únikům dat u bank, finančních společností i veřejných institucí. Komise pro finanční služby (FSC) na to firmám nařídila komplexní bezpečnostní kontroly, omezení externího přístupu k systémům a rychlé sdílení informací o útoku — metod, IP adres — napříč sektorem.
- Vyšetřovatelé našli 30 IP adres ze dvanácti zemí. Korea Times píše, že útočník operoval přes adresy registrované mimo jiné v USA, Japonsku, Hongkongu, Singapuru, Vietnamu, Španělsku a Německu — typický obraz anonymizované infrastruktury, ne jedné lokalizovatelné skupiny. Finanční dohled (FSS) k tomu dodal, že zatím nejde o jednu potvrzenou příčinu u všech firem najednou.
- 6. října: regulátor oficiálně přešel do fáze „po úniku“. Komise pro finanční služby a Úřad finančního dohledu společně vydaly tiskovou zprávu, kterou vyhlásily spotřebitelské varování stupně „I — Caution“ a spustily měsíční zvláštní režim proti phishingu a podvodným žádostem o úvěr postavených na uniklých datech. Firmám nařídily zřídit asistenční linky pro postižené klienty, zpřísnit kontrolu podezřelých transakcí (nové účty, velké převody, žádosti o úvěr online) a aktivně používat platformu ASAP — AI nástroj na sdílení informací o phishingových útocích mezi institucemi. Zpráva zároveň říká, že k datu vydání nebyl potvrzen jediný případ reálné finanční škody — co se řeší, je riziko, ne už vzniklá ztráta.
- AI nástroj ARTEX AI zůstává nepotvrzenou stopou, ne příčinou. Jak jsme psali minulý týden, bezpečnostní analytici našli na jednom ze serverů stopy open-source nástroje na automatizované penetrační testování. Ani týden později to banky ani regulátor oficiálně nepotvrdily jako příčinu útoku na všech sedm firem — FSC chairman Lee Eog-weon řekl jen, že „možnost nasazení AI nelze vyloučit“ a že sektor musí „zůstat v nejvyšší pohotovosti“.
Proč se to týká i vás
Tohle není článek o tom, že korejské banky mají díru. Je o tom, že reakce na únik dat má dvě fáze, a firmy obvykle naplánují jen tu první. První fáze je „zavřít díru, zjistit rozsah, informovat úřad“ — tu měla korejská banka hotovou za pár dní. Druhá fáze, kterou korejský regulátor teď dělá veřejně a se jménem, je „data už jsou venku, co s tím udělá někdo jiný v následujících týdnech“. Jméno, telefon, rodné číslo a výši úvěrového limitu stovek tisíc lidí nikdo nevrátí zpátky do trezoru — jediná obrana, která zbývá, je zachytit podvod, který se s těmi daty pokusí někdo udělat.
Česká firma, která zažije únik dat zákazníků, má typicky krizový plán na fázi jedna — technické zastavení útoku, právní oznámení ÚOOÚ do 72 hodin. Málokterá má naplánovanou fázi dvě: kdo bude měsíc sledovat, jestli se uniklá jména a telefonní čísla nepoužívají na phishing vašich vlastních klientů, a co konkrétně uděláte, když se to stane. Korejský regulátor dal té druhé fázi přesný tvar — měsíc zvýšeného dohledu, asistenční linky, přísnější ověřování u podezřelých transakcí — protože ví, že únik dat se nezastaví dnem zveřejnění.
Co s tím
- 1. Pokud jste v posledním roce měli únik dat (i malý), zkontrolujte, jestli krizový plán obsahuje fázi „co po 72 hodinách“. Oznámení úřadu a zastavení útoku je nutná, ne dostatečná podmínka — chybí vám plán na týdny, kdy jsou data už venku.
- 2. Určete si předem, kdo monitoruje zneužití uniklých dat u vašich klientů. Konkrétně: nová podezřelá přihlášení, žádosti o úvěr nebo změny kontaktních údajů u účtů, které figurovaly v úniku. Bez toho se o zneužití dozvíte až od poškozeného klienta.
- 3. Připravte si šablonu komunikace pro klienty, která rozlišuje „vaše data unikla“ od „vaše peníze jsou v ohrožení“. Korejský regulátor to dělá přesně takhle — zvlášť hlásí únik, zvlášť (a teprve při potvrzené škodě na stupeň vyšší) hlásí reálné riziko peněz. Smícháním obojího klienta buď zbytečně vystrašíte, nebo naopak podceníte.
- 4. Než incident interně nazvete „AI hack“, ověřte, co je skutečně potvrzené. Týden po prvních titulcích o ARTEX AI zůstává jeho role nepotvrzená i u korejských úřadů se vší kapacitou vyšetřování. Vaše vlastní hodnocení rizika by na nepotvrzené atribuci nemělo stavět rozpočet ani PR zprávu.
A teď proti vlastnímu byznysu: pokud jste únik dat nikdy nezažili a nemáte systém s citlivými údaji klientů přístupný zvenčí, tohle je spíš inspirace do šuplíku než úkol k řešení tento týden. Krizový plán na fázi dvě má smysl stavět ve chvíli, kdy řešíte fázi jedna — ne měsíce předem jako samostatný projekt.
Kde to řeším s klienty
Přípravu krizového plánu pro únik dat — včetně fáze monitoringu zneužití po samotném incidentu — řešíme v rámci AI Agent Governance Checkupu. Pokud si nejste jistí, jestli se vás tohle téma týká vůbec, začněte AI Risk Scanem zdarma.