Утечки из корейских банков показали, насколько тонка база киберстрахования

Волна вошла через боковую дверь

По данным Korea Times, с 30 сентября по 2 октября данные утекли из 4 корейских банков. В Shinhan пострадали около 25 000 клиентов, в KB Kookmin — 119, в Hana — 89; в BNK утекли данные 11 сотрудников подрядчиков. Две попытки взлома Woori и NH NongHyup к потере данных не привели.

Общий знаменатель — не основная банковская система. В Shinhan атаке подвергся сервис, которым пользуются кредитные посредники, в KB Kookmin — мобильная рабочая система сотрудников, в Hana — система поддержки продаж. Эксперты указывают как минимум в одном случае на подбор учётных данных, то есть массовую проверку паролей, похищенных при других утечках.

Korea Times сообщила, что на одном из серверов обнаружена надпись на китайском языке «консоль автономного тестирования на проникновение с ИИ». Это подкрепляет версию, согласно которой автоматизированный инструмент за 3 дня прощупал 6 банков. Однако утверждение об использовании ИИ-агента по состоянию на 2 октября официально подтвердить не удалось.

Обещание компенсации ложится на баланс

По данным Aju Press, CEO Shinhan Чон Сан Хёк (Jung Sang-hyuk) 1 октября заявил, что банк полностью покроет все убытки от утечки. В тот же день акции Shinhan Financial подешевели примерно на 1%. Размер и сроки компенсации по состоянию на 2 октября не раскрыты.

Главный вопрос — кто в итоге заплатит по этому обещанию. По данным Insurance Business, единственный обязательный киберполис в Корее — страхование ответственности за утечку данных, и его минимальное покрытие составляет 1 млрд вон. Штраф в 624,7 млрд вон, наложенный на Coupang в июне 2026 года, превышает эту базу более чем в 600 раз. Поправка февраля 2026 года поднимает потолок штрафа при грубой небрежности с 3% до 10% выручки.

Сам рынок тоже узок. Согласно апрельским данным Korea Times за 2026 год, киберстраховые премии Кореи в 2024 году составили около 3 млн долларов, то есть 0,02% мирового рынка объёмом 15,3 млрд долларов. В том же году премии в Сингапуре достигли 39 млн долларов, в Таиланде — 5 млн долларов. Число корпоративных полисов в 2025 году выросло на 42%, но остановилось на отметке 7683.

Регулятор обсуждает сужение базы

Угроза растёт, а обязательный охват может сократиться. По данным Insurance Business, Комиссия по защите персональной информации предлагает уменьшить число компаний, обязанных страховаться, примерно с 380 000 до 200 или около того. Новым порогом станут выручка в 150 млрд вон и 1 млн субъектов данных; действующий порог — 1 млрд вон и 10 000 человек.

Такое предложение сохранит крупные банки в периметре, но выведет за его пределы мелких посредников в цепочке поставок. То, что в случае Shinhan дверью стал сервис кредитного посредника, показывает: риск копится именно в этих мелких звеньях. По данным Korea Times, в 2025 году Корея пережила 2383 киберинцидента — почти вдвое больше, чем в 2023 году.

Комиссия по финансовым услугам на экстренном совещании потребовала от всех организаций поимённо инвентаризировать внешние ИТ-активы. По данным JKN, в 2026 году анализу уязвимостей подвергнутся веб-сайты, мобильные приложения и облачные среды 178 финансовых организаций. В краткосрочной перспективе эта проверка может вывести на свет новые утечки.

Тот же пробел по всей Азии

Корея — не единственный пример. По данным BleepingComputer, японская Keio утром 26 сентября подверглась атаке программы-вымогателя; 85 км железной дороги продолжали работать, но в гостиничном подразделении из 25 отелей сбоили платёжные системы. В Малайзии порт Танджунг-Пелепас в ночь на 9 сентября остановил контейнерные операции из-за киберинцидента; в 2025 году порт обработал 14 028 375 TEU.

Общий итог этих случаев — большая часть издержек от простоев и компенсаций остаётся незастрахованной. Объёма премий в Корее в 3 млн долларов может не хватить даже на обещанную одним банком компенсацию 25 000 клиентам; это сравнение подтвердить не удалось, поскольку сумма компенсации не раскрыта. Актуальных данных о том, какая доля перестраховочной ёмкости региона выделена под киберриск, также найти не удалось.