Взлом Gopax, Pravang и 14 финкомпаний Кореи: что известно

Волна кибератак на финансовый сектор Южной Кореи дошла до криптобирж. 14 октября регуляторы назвали 16 пострадавших компаний — от банков Shinhan и KB Kookmin до Streami, оператора биржи Gopax, и биржи Pravang. Всего утекло около 100 000 записей с персональными данными. Криптовалюту, по имеющимся данным, не украли: Gopax говорит о попытках входа в считаные аккаунты без ущерба, Pravang — об утечке данных примерно 20 клиентов.

Что известно сейчас

• Пострадавших компаний 16; в начале октября их было семь. Всего утекло около 100 000 записей — имена, контакты, номера регистрации резидентов, адреса почты. Номеров счетов, карт и паролей среди утечек не нашли.
• Сколько записей на какую компанию, регуляторы не раскрыли; 100 000 — сумма по всем 16, а не по Gopax.
• Gopax: злоумышленники пытались войти в аккаунты с почтами и паролями, утёкшими раньше с других сайтов. Таких аккаунтов меньше десяти, активы клиентов не пострадали, утечка персональных данных, по словам биржи, не подтверждена.
• Pravang: 2 октября посторонние получили данные около 20 клиентов, 9 октября биржа сообщила об этом на сайте.
• Регуляторы допускают, что атаки на финсектор вели с помощью ИИ-агентов, и выясняют, один ли это исполнитель. Gopax утверждает, что её случай с ИИ и взломом Shinhan не связан.
• Список пострадавших может вырасти: компании сверяют журналы доступа с IP-адресами атакующих.

Как это произошло

В волне атак два разных сценария. Основной, по данным регуляторов и Korea JoongAng Daily, — взлом слабо защищённых сервисов, открытых в интернет: у Shinhan это был портал для кредитных агентов, где удалось обойти проверку личности и выгрузить данные около 25 000 клиентов. Проверка 555 финансовых компаний нашла недостатки у 130: неустановленные обновления, устаревшие системы, нет круглосуточного мониторинга, слабая проверка доступа к внешним системам.

ИИ-след описал NoCutNews: ещё в сентябре Институт финансовой безопасности разбирал атаку на корейскую финкомпанию, где злоумышленник поручил агенту на основе китайской модели DeepSeek найти в секторе серверы Oracle WebLogic, а на следующий день агент через уязвимость установил на них веб-шелл. По данным издания, в нынешней волне атакующий использовал китайский инструмент для тестирования на проникновение ARTEX, объединяющий несколько ИИ-моделей. Полиция и регуляторы эту версию официально не подтвердили.

У Gopax, по словам биржи, сценарий другой и простой — подбор учётных данных (credential stuffing): злоумышленник берёт пары «почта + пароль» из старых утечек других сайтов и пробует их на бирже. Это срабатывает, если человек использует один пароль в нескольких местах. Попытки заметила система контроля подозрительных операций.

Хроника

17 сентября. Институт финансовой безопасности на семинаре для специалистов по безопасности разбирает атаку ИИ-агента на одну из финансовых компаний Кореи (NoCutNews).

1 октября. Shinhan Bank объявляет, что посторонние получили данные около 25 000 клиентов: имена, телефоны, доходы и кредитные лимиты (Korea JoongAng Daily). Позже о меньших утечках сообщают KB Kookmin (119 человек), Hana (89) и BNK Busan (11).

2 октября. Посторонний, по сообщению Pravang, получает доступ к части её сервисов и данным около 20 клиентов (BizWatch).

4 октября. Глава Комиссии по финансовым услугам (FSC) Ли Ок Вон на экстренном совещании всего финсектора говорит, что нельзя исключать ИИ-атаки (MTN).

9 октября. Pravang публикует на сайте уведомление об утечке: имя, пол, гражданство, дата рождения, телефон, адрес, место работы и должность.

11 октября. NoCutNews пишет об ИИ-следе: агент на базе DeepSeek и инструмент ARTEX; в атаках на банки фигурируют командный сервер в Гонконге и запутанные маршруты доступа.

14 октября, к 10:15 МСК. На втором экстренном совещании FSC, Службы финансового надзора и Института финансовой безопасности число пострадавших растёт до 16, среди них Streami (Gopax) и Pravang; утекло около 100 000 записей (Seoul Economic Daily).

14 октября, 11:08 МСК. Gopax объясняет: были повторные попытки входа в несколько аккаунтов по утёкшим с других сайтов паролям, ущерба нет, владельцы аккаунтов предупреждены, власти уведомлены в день обнаружения.

Куда ушли деньги

О краже денег или криптовалюты ни у одной из 16 компаний не сообщалось. Утекли персональные данные, а не средства. Сколько записей пришлось на Gopax и Pravang, кроме примерно 20 клиентов Pravang, неизвестно.

Что сделали команда и биржи

Gopax сообщила о попытках регуляторам, лично уведомила владельцев аккаунтов, обещает сотрудничать с властями и ускорить обновление систем. Pravang включила режим экстренного реагирования, заблокировала IP-адреса атакующих и следит за подозрительными входами.

Регуляторы рассылают IP-адреса атакующих по финансовым компаниям, требуют проверить все сервисы, открытые в интернет, и проверять уязвимости минимум дважды в год вместо одного раза. Обсуждается и большая ответственность руководителей и советов директоров за безопасность. «Глубоко тревожит, что финансовые компании до сих пор не выполняют базовые требования безопасности», — сказал генеральный секретарь FSC Син Джин Чхан.

Что это значит для держателей

Своего токена у Gopax нет, на рынок история не повлияла. Gopax входит в число бирж Кореи с торговлей за воны; в 2023 году контрольный пакет её оператора купила Binance.

Главный риск для клиентов — не кража с бирж, а фишинг: с именем, телефоном и почтой мошенники могут писать от имени биржи или банка. Биржи никогда не просят коды входа и сид-фразы. Случай Gopax напоминает и о повторных паролях: учётные данные, утёкшие с любого сайта, позже пробуют на биржах, поэтому важны отдельный пароль и двухфакторная защита.

Статья дополняется: мы следим за развитием событий и добавляем новые данные. Последнее обновление — 14 октября 2026, 13:00 МСК.

Это не инвестиционный совет.