Une enquête approfondie après plusieurs fuites de données

Le président sud-coréen Lee Jae-myung a demandé, le 4 octobre, une enquête rigoureuse sur les récentes fuites de données personnelles touchant des établissements financiers et des organismes publics. Il a également appelé les autorités à préparer des mesures pour empêcher que de tels incidents ne se reproduisent.

Après avoir reçu un rapport sur les incidents et les réponses apportées jusqu’ici, le président a demandé que le dossier soit traité avec le plus grand sérieux. Il a insisté sur la nécessité d’établir les faits et de préparer des solutions concrètes, sans minimiser la gravité de la situation.

« Il faut prendre la mesure de la gravité de cette affaire, mener une enquête approfondie et veiller à mettre en place toutes les mesures nécessaires », a déclaré Lee Jae-myung, selon le compte rendu communiqué par la présidence.

Plusieurs établissements financiers concernés

Des attaques informatiques attribuées à des acteurs extérieurs ont été signalées chez Shinhan Bank, KB Kookmin Bank, Hana Bank et BNK Busan Bank. Ces incidents auraient entraîné l’exposition d’informations personnelles de clients.

Les signalements ne se limiteraient pas aux grandes banques. Des établissements de finance non bancaire — notamment des banques d’épargne, des sociétés de financement et des coopératives financières — auraient également été touchés dans différentes régions.

  • Les banques d’épargne proposent des services bancaires, souvent à une clientèle différente de celle des grandes banques commerciales.
  • Les sociétés de financement accordent notamment des prêts et proposent des solutions de crédit.
  • Les coopératives financières sont des organismes qui fournissent des services financiers à leurs membres ou à des communautés locales.

La multiplication des incidents soulève une question importante : s’agit-il d’attaques séparées ou d’une campagne coordonnée ? Les informations communiquées ne permettent pas encore de trancher. C’est notamment ce que l’enquête devra établir.

Le rôle de l’intelligence artificielle reste à confirmer

Les attaques pourraient avoir utilisé l’intelligence artificielle (des systèmes informatiques capables d’accomplir certaines tâches qui nécessitent habituellement des capacités humaines), mais cette hypothèse n’est pas présentée comme un fait établi. Les enquêteurs devront déterminer quels outils ont été employés et si l’IA a joué un rôle direct dans l’intrusion ou dans la préparation des attaques.

L’IA peut, en théorie, aider des personnes malveillantes à automatiser certaines opérations ou à rédiger des messages frauduleux plus crédibles. Par exemple, un courriel de hameçonnage (un faux message conçu pour pousser sa victime à révéler des informations) peut être personnalisé pour ressembler davantage à une communication habituelle d’une banque.

Cela ne signifie pas que ces méthodes ont été utilisées dans les incidents signalés. Il faudra examiner les traces informatiques, les systèmes touchés et les méthodes d’accès avant de conclure sur la nature des attaques.

Ce que l’enquête devra éclaircir

Une enquête complète devra notamment déterminer quelles données ont été exposées, combien de personnes sont concernées et pendant combien de temps les systèmes ont été vulnérables. Elle devra aussi établir comment les intrus ont obtenu l’accès et si des failles communes relient les différents cas.

Des réponses attendues des établissements

Les établissements concernés devront expliquer comment ils ont détecté les intrusions, quelles mesures ils ont prises pour les arrêter et comment ils ont informé les personnes touchées. Ils devront également préciser si les accès compromis ont été désactivés et si les systèmes ont été vérifiés pour repérer d’éventuelles intrusions supplémentaires.

Pour les clients, une fuite de données peut avoir des conséquences au-delà de l’incident initial. Des informations comme un nom ou un numéro de téléphone peuvent être réutilisées pour tenter d’obtenir d’autres renseignements, se faire passer pour un conseiller bancaire ou convaincre une personne d’effectuer un paiement.

La confirmation d’une fuite ne suffit donc pas à mesurer le risque : il faut aussi savoir quelles informations ont été prises et comment elles pourraient être exploitées.

Le président avait déjà évoqué des sanctions plus lourdes

Trois jours avant sa dernière intervention, le 30 septembre, Lee Jae-myung avait publié un message sur le réseau social X concernant les entreprises qui gèrent des données personnelles. Il avait alors évoqué des amendes dépassant les économies réalisées grâce à une protection insuffisante, ainsi que des sanctions pénales sévères.

Il avait aussi plaidé pour que les personnes concernées puissent obtenir plus facilement une indemnisation au moyen d’actions collectives (procédures permettant à plusieurs personnes ayant subi un préjudice similaire de porter ensemble une réclamation). Il s’agissait d’une mise en garde politique, et non de l’annonce que toutes ces mesures étaient déjà entrées en vigueur.

L’objectif de sanctions plus élevées est de faire comprendre aux entreprises que la sécurité des données constitue une responsabilité essentielle. Si une organisation peut réduire ses dépenses en négligeant ses protections sans risquer de conséquences importantes, la prévention peut être reléguée au second plan.

  • Les amendes peuvent pénaliser financièrement une entreprise après une violation de ses obligations.
  • Les sanctions pénales visent les comportements que la loi considère comme des infractions.
  • L’indemnisation permet aux personnes touchées de demander réparation pour un préjudice subi.

Un enjeu de confiance pour tout le secteur financier

Les banques et les autres organismes financiers détiennent des informations particulièrement sensibles : elles peuvent inclure des coordonnées personnelles et des données liées aux services utilisés par les clients. La sécurité de ces informations dépend non seulement des outils informatiques, mais aussi des règles internes, de la formation du personnel et de la rapidité de réaction en cas d’alerte.

La présence de plusieurs types d’établissements parmi les cas signalés rend également importante la coordination des autorités. Une banque, une société de crédit et une coopérative n’ont pas forcément les mêmes systèmes ni les mêmes moyens, mais une faille dans l’un de ces maillons peut exposer les clients à des risques comparables.

Les conclusions de l’enquête seront donc déterminantes pour savoir si les incidents révèlent des problèmes propres à chaque établissement ou des faiblesses plus larges dans la protection du secteur. Elles pourraient aussi préciser quelles obligations de sécurité doivent être renforcées et comment les clients doivent être informés après une fuite.

Les prochaines étapes

À court terme, les priorités sont de contenir les intrusions, d’identifier les données concernées et d’avertir les personnes exposées de manière suffisamment claire pour qu’elles puissent se protéger. À plus long terme, les autorités devront évaluer les pratiques de sécurité et décider si des contrôles ou des sanctions supplémentaires sont nécessaires.

Pour les clients, la prudence reste utile tant que l’étendue des fuites n’est pas connue : un message inattendu réclamant un mot de passe, un code de vérification ou un paiement mérite d’être vérifié par un canal officiel. Toutefois, la responsabilité principale de la protection des systèmes incombe aux organisations qui collectent et conservent les données.

L’enquête devra établir les faits avant de confirmer le rôle de l’IA ou de déterminer les responsabilités. La suite dépendra de la portée des fuites, des causes découvertes et des mesures prises pour éviter de nouveaux incidents.