Serangkaian serangan siber terhadap lembaga keuangan mengekspos data nasabah di Shinhan Bank, KB Kookmin Bank, dan Hana Bank. Ketiga bank ini justru menonjolkan evaluasi keamanan tingkat atas, sertifikasi domestik dan internasional, sampai pemantauan 24 jam di laporan semi-annual 2026 mereka. Sepanjang tahun lalu, ketiganya bersama-sama membelanjakan sekitar 124 miliar won Korea untuk perlindungan informasi. Tetapi serangan tidak menembus benteng utama itu. Ia menyusup lewat celah autentikasi dan kontrol akses di sistem pendukung bisnis yang dipakai loan solicitor dan pegawai bank. Penyelidikan kini fokus pada satu pertanyaan: apakah kerangka keamanan tingkat perusahaan mereka benar-benar diterapkan ke layanan bisnis yang terekspos ke luar.
Review laporan semi-annual 2026 ketiga bank oleh The Chosunilbo pada 5 Oktober memperlihatkan pola serupa: investasi besar di orang, pemantauan, sertifikasi, dan latihan respons. Tapi titik bocornya bukan sistem inti, melainkan layanan pendukung yang lebih jarang disorot.
Benteng yang Kokoh di Atas Kertas
Shinhan Bank mengungkapkan meraih grade S dengan 100 poin enam tahun berturut-turut dalam “Personal Credit Information Management and Protection Inspection” milik Financial Services Commission. Bank ini menyatakan memegang sertifikasi perlindungan informasi domestik dan internasional, rutin latihan pertahanan hacking dengan Financial Security Institute, dan ikut latihan “Locked Shields” milik Cyber Defense Center NATO pada 2025 sebagai lembaga keuangan domestik pertama. Ia juga mengoperasikan sistem berbasis AI untuk mendeteksi transaksi mencurigakan.
Namun kebocoran data nasabah terjadi di layanan inquiry sederhana yang dipakai loan solicitor untuk melacak progres pinjaman. Sistem bank memang menandai anomali transaksi, tetapi insiden ini membuka celah pada verifikasi identitas dan pemblokiran akses tidak sah yang berulang saat inquiry data nasabah.
Tiga Bank, Tiga Celah di Sistem Pendukung
KB Kookmin Bank menyatakan memisahkan jaringan internal dan eksternal untuk semua PC, mewajibkan autentikasi tambahan untuk akses data nasabah sehingga hanya pegawai berwenang yang bisa masuk, memantau seluruh siklus hidup pengumpulan dan pemusnahan data pribadi, serta menginspeksi langsung vendor eksternal. Akan tetapi, breach melibatkan penyerang yang mendapat akses tidak normal ke sistem pendukung mobile pegawai. Langkah keamanan untuk PC internal dan akses data nasabah tidak terintegrasi erat dengan sistem mobile itu.
Hana Bank menyatakan mengalokasikan anggaran perlindungan informasi melampaui rekomendasi otoritas keuangan setiap tahun, membatasi akses data nasabah hanya untuk pegawai dengan kebutuhan bisnis sah, dan mewajibkan dokumentasi tujuan akses. Pusat pemantauan keamanan terintegrasi grupnya beroperasi 24 jam sehari. Meski begitu, kebocoran data terjadi di sistem pendukung yang dipakai pegawai di operasional penjualan, justru saat sistem pemantauan tengah aktif.
Soal Anggaran dan Arti Sertifikasi
Ketiga bank memang berinvestasi besar. Menurut data yang diserahkan Financial Supervisory Service kepada anggota parlemen Lee Yangsoo dari People Power Party, Hana Bank membelanjakan 53,002 miliar won Korea, KB Kookmin Bank 39,297 miliar won, dan Shinhan Bank 31,675 miliar won untuk perlindungan informasi tahun lalu, dengan total 123,974 miliar won. Pertanyaannya, apakah investasi itu ikut memperkuat autentikasi dan kontrol akses di layanan bisnis garis depan, tempat kebocoran justru terjadi.
Yang perlu kamu pahami soal sertifikasi: ia mengevaluasi sistem atau lingkup bisnis spesifik yang diajukan perusahaan, bukan otomatis mencakup halaman web baru atau sistem mobile yang dimodifikasi. Karena itu, lembaga keuangan wajib mengidentifikasi seluruh aset IT yang bisa diakses dari luar, serta memverifikasi metode autentikasi dan izin kueri setiap kali sistem diperbarui atau diubah.
Kami sedang meninjau secara menyeluruh apakah verifikasi identitas, izin akses, dan patch kerentanan untuk sistem yang terekspos ke luar sudah dikelola dengan semestinya terkait insiden ini.
Hacker Pakai AI, Otoritas Bergerak Cepat
Otoritas keuangan menelusuri bukan cuma metode serangan, tetapi juga bagaimana breach berujung pada bocornya data nasabah. Hacker memakai AI untuk memindai jaringan sejumlah lembaga keuangan dan berulang kali memasukkan data dalam volume besar. Serangan menyasar sistem tanpa verifikasi identitas untuk review pengajuan pinjaman atau pembatasan perangkat pada sistem mobile pegawai. Di beberapa kasus, kerentanan web yang belum di-patch memungkinkan pemasangan malware dan eksfiltrasi file log berisi data nasabah.
Otoritas memerintahkan lembaga keuangan mengaudit penuh aset IT dan sistem bisnis yang bisa diakses dari luar. Fungsi tanpa autentikasi atau kontrol akses harus segera diperbaiki atau diblokir, dan sistem mobile pegawai hanya boleh diakses dari perangkat yang diizinkan. Mereka juga meninjau apakah kerentanan web yang sudah diketahui telah di-patch dan apakah sistem mampu mendeteksi akses tidak normal atau inquiry berulang.
Fokus lain adalah luasnya pemakaian program pendukung bisnis serupa atau operasional yang di-outsource di banyak lembaga keuangan. Kerentanan di satu institusi bisa dieksploitasi untuk menyerang sistem serupa di tempat lain. Para ahli industri menyerukan inspeksi bersama, berbagi informasi serangan, dan dukungan perbaikan kerentanan lewat Financial Security Institute, khususnya bagi savings bank dan lembaga keuangan mutual yang sumber daya keamanannya terbatas. Bank dan perusahaan kartu kredit harus menyelesaikan inspeksi darurat paling lambat 6 Oktober; perusahaan sekuritas, asuransi, savings bank, dan lembaga keuangan elektronik sampai 8 Oktober.
