Bank Sentral dan Pemberi Pinjaman Milik Negara Korea Selatan Hadapi Lebih dari 1 Juta Upaya Serangan Siber

Serangan selama sembilan bulan melampaui total sepanjang 2025

Bank sentral Korea Selatan dan tiga pemberi pinjaman milik negara mencatat 1.024.478 upaya peretasan antara Januari dan September 2026, melampaui 934.858 upaya yang terdeteksi sepanjang 2025 sebanyak 89.620, atau 9,6%. Lembaga-lembaga tersebut melaporkan tidak ada pembobolan yang berhasil dari upaya tersebut, meski serangan terpisah terhadap bank komersial mengungkap informasi nasabah.

Data yang diserahkan kepada anggota parlemen dari Partai Kekuatan Rakyat Kang Min-kuk dan diungkap pada 11 Oktober menunjukkan jumlah kumulatif 4.986.964 upaya sejak 2020 hingga September 2026. Industrial Bank of Korea (IBK) menyumbang 91,9% dari jumlah itu, mencerminkan luasnya layanan perbankan internet dan seluler bagi nasabah perorangan dan korporasi.

Perbedaan antara upaya serangan dan pembobolan yang terkonfirmasi menjadi kunci untuk memahami angka-angka tersebut. Upaya yang terdeteksi tidak membuktikan bahwa penyerang berhasil memasuki sistem atau mencuri informasi. Sebaliknya, tidak adanya penyusupan yang berhasil dalam kumpulan data ini bukan berarti semua layanan terkait atau penyedia eksternal terhindar dari gangguan atau kebocoran.

Insiden terpisah memperlihatkan perbedaan tersebut. Penyusupan ke penyedia pelatihan eksternal mengungkap informasi milik 186 pegawai Bank of Korea pada Mei dan Juni 2026. Bank-bank komersial juga mengungkap kebocoran data nasabah, sehingga regulator memerintahkan pemeriksaan sistem yang dapat diakses dari internet, penguatan autentikasi dan kontrol akses, serta peningkatan berbagi informasi mengenai metode serangan dan alamat IP mencurigakan.

Tekanan yang dihadapi lebih luas daripada sekadar jumlah serangan. Pengungkapan di parlemen menggambarkan anggaran keamanan yang tidak terserap sepenuhnya, jumlah personel yang tidak merata di pemberi pinjaman milik negara, serta ancaman baru dari perangkat kecerdasan buatan yang dapat mempercepat pencarian kerentanan.

Seberapa cepat upaya yang terdeteksi meningkat?

Angka tahunan menunjukkan kenaikan yang berkelanjutan sejak 2020. Hingga September 2026, jumlahnya sudah sekitar 2,86 kali lipat dari 358.800 upaya yang tercatat sepanjang 2020. Perbandingan ini sangat mencolok karena periode terbaru hanya mencakup sembilan bulan, bukan satu tahun penuh.

Rangkaian angka tersebut juga menunjukkan bahwa kenaikan itu tidak dimulai setelah kebocoran terbaru di bank komersial:

• 2020: 358.800 upaya di empat lembaga.
• 2021: 564.430 upaya.
• 2022: 585.563 upaya.
• 2023: 738.312 upaya.
• 2024: 780.524 upaya.
• 2025: 934.858 upaya. Gyeonggi IT Center milik Bank of Korea mulai beroperasi pada Oktober.
• Januari hingga September 2026: 1.024.478 upaya.
• 11 Oktober 2026: Angka terbaru diungkap melalui Kang.

Upaya yang terdeteksi mengukur aktivitas yang dihadapi sistem keamanan, bukan jumlah penyerang individu atau pembobolan yang berhasil. Permintaan otomatis yang berulang dapat menghasilkan banyak deteksi. Penjelasan IBK juga menunjukkan bahwa skala layanan yang terbuka bagi pengguna eksternal berpengaruh dalam perbandingan antarinstansi.

Terdapat sedikit ketidaksesuaian aritmetika dalam total yang dipublikasikan: angka tahunan yang tercantum jika dijumlahkan menjadi 4.986.965, lebih banyak satu daripada total kumulatif yang dinyatakan, yakni 4.986.964. Selisih itu tidak mengubah tren yang dilaporkan maupun dominasi upaya terhadap IBK.

Mengapa IBK mencatat sebagian besar aktivitas

IBK mencatat sekitar 4,584 juta upaya selama periode kumulatif. Korea Development Bank (KDB) menyusul dengan 399.379, sedangkan Bank of Korea mencatat 3.076 dan Export-Import Bank of Korea mencatat 510.

IBK mengaitkan jumlahnya yang jauh lebih besar dengan layanan internet dan seluler berskala sebanding dengan bank komersial. Layanan tersebut menghubungkan pemberi pinjaman itu dengan nasabah perorangan dan bisnis, sehingga membuka lebih banyak peluang bagi lalu lintas berbahaya untuk mencapai sistem yang dapat diakses publik.

Angka-angka tersebut, dengan sendirinya, tidak membuktikan bahwa pertahanan IBK lebih lemah daripada lembaga lainnya. Penjelasan IBK berkaitan dengan volume layanan dan upaya yang terdeteksi, sementara keempat lembaga melaporkan tidak ada pembobolan yang diakibatkan oleh upaya dalam kumpulan data kumulatif tersebut.

Gyeonggi IT Center Bank of Korea, yang menampung server komputasi utamanya, mencatat 145 upaya setelah mulai beroperasi pada Oktober 2025. Angka tersebut merujuk pada fasilitas tertentu dan tidak dapat disamakan dengan total Bank of Korea di seluruh sistem dan tahun.

Gangguan layanan merupakan jenis serangan yang paling banyak tercatat

Serangan penolakan layanan menyumbang 2.275.006 upaya, atau 45,6% dari total kumulatif. Serangan semacam ini berusaha membuat layanan tidak tersedia, misalnya dengan membanjirinya permintaan atau menghabiskan sumber daya komputasi yang diperlukan untuk melayani pengguna sah.

Kategori terbesar berikutnya adalah pengumpulan informasi, dengan 866.776 upaya; malware, dengan 475.026; dan akses tanpa izin, dengan 456.783. Pengumpulan informasi dapat melibatkan pemeriksaan sistem untuk mengidentifikasi perangkat lunak, fungsi yang terekspos, atau kelemahan. Malware adalah perangkat lunak berbahaya, sedangkan upaya akses tanpa izin bertujuan masuk tanpa persetujuan yang sah.

Keempat kategori tersebut mencakup total 4.073.591 upaya. Artinya, kategori-kategori itu tidak mencakup seluruh upaya dalam angka kumulatif, dan perincian kategori sisanya belum dijelaskan.

Dominasi serangan penolakan layanan menjelaskan mengapa dampak serangan dapat melampaui pencurian informasi. Situs web atau layanan transaksi perbankan bisa sulit digunakan meski penyerang tidak menguasai sistem internal.

Kang Min-kuk, anggota parlemen dari Partai Kekuatan Rakyat yang merilis angka-angka tersebut, menjelaskan risiko yang dihadapi lembaga-lembaga yang menangani keuangan publik dan korporasi:

Serangan terhadap pemberi pinjaman milik negara dapat mengganggu sistem keuangan di dalam dan luar negeri serta membahayakan informasi sensitif pemerintah dan korporasi," kata Kang. "Kita harus membangun pertahanan untuk menghadapi lonjakan serangan siber berbasis AI dan bekerja sama dengan otoritas keuangan guna mengadakan simulasi serangan siber.

Tidak ada pembobolan yang dilaporkan, tetapi klaim ini tidak berarti keamanan menyeluruh

Keempat lembaga menyatakan upaya yang dihitung sejak 2020 hingga September 2026 tidak mengakibatkan pembobolan. Namun, pengungkapan terpisah mencatat gangguan sebelumnya dan kebocoran yang melibatkan kontraktor Bank of Korea.

Serangan penolakan layanan terdistribusi sempat memperlambat akses ke situs web bank sentral itu pada Desember 2023. Pada Mei dan Juni 2026, penyusupan ke sistem penyedia pelatihan eksternal mengungkap informasi pribadi milik 186 pegawai bank sentral. Insiden-insiden ini menunjukkan pentingnya membedakan gangguan layanan, penyusupan ke sistem milik bank, dan kebocoran di penyedia layanan.

Pengungkapan lain menyebutkan Bank of Korea mencatat 136 upaya hingga 2 Oktober 2026, dibandingkan 30 sepanjang 2025. Sasaran yang dapat diakses melalui internet mencakup situs web utama, portal statistik ekonomi, dan perpustakaan elektroniknya. Bank sentral mengatakan tidak mencatat penyusupan, gangguan, atau kebocoran data yang berhasil antara awal September dan 2 Oktober.

Export-Import Bank secara terpisah melaporkan 283 upaya hingga 5 Oktober, dibandingkan 36 sepanjang 2025. Dari 283 upaya tersebut, 272 berasal dari alamat IP luar negeri. Lokasi alamat IP menunjukkan dari mana lalu lintas tampak berasal, bukan berarti mencerminkan kewarganegaraan atau lokasi fisik penyerang.

Pengungkapan itu juga menyatakan pemberi pinjaman tersebut mendeteksi 197 upaya selama lima tahun sebelumnya. Jika digabung dengan 283 upaya terbaru, jumlahnya menjadi 480, bukan 510 seperti dalam laporan kumulatif yang lebih luas. Perbedaan periode pelaporan atau metode penghitungan mungkin menjadi penyebabnya, tetapi belum ada penjelasan yang menyelaraskan angka-angka tersebut.

Apa yang sebenarnya dibuktikan oleh peringatan serangan AI

Financial Security Institute mengadakan seminar keamanan AI di sektor keuangan untuk sekitar 160 petugas keamanan pada 17 September. Dokumen yang diperoleh anggota parlemen dari Partai Demokrat Sosial Han Chang-min menguraikan kasus yang dipaparkan dalam seminar itu sebagai serangan pertama di sektor keuangan Korea Selatan yang melibatkan agen AI.

Agen AI adalah perangkat lunak yang dapat menjalankan serangkaian tugas dengan menggunakan model AI, bukan sekadar menjawab pertanyaan. Dalam kasus yang dipaparkan di seminar, seorang penyerang menginstruksikan agen berbasis DeepSeek untuk menemukan program server keuangan.

Agen tersebut dilaporkan menemukan dan mengeksploitasi kerentanan dalam sehari, memasang perangkat lunak yang memungkinkan kendali jarak jauh, lalu memeriksa server internal. Perusahaan keuangan yang menjadi sasaran memblokir serangan itu sebelum malware tambahan dapat dipasang. Identitas perusahaan tersebut tidak disebutkan.

Institut itu mendesak pemantauan berkelanjutan terhadap sistem yang terpapar internet, dengan peringatan bahwa pemeriksaan sekali atau dua kali setahun dapat luput mendeteksi aktivitas semacam ini. Institut juga mengidentifikasi kelemahan dalam cakupan penilaian: antarmuka pemrograman aplikasi, yakni koneksi yang digunakan situs web dan aplikasi untuk bertukar data, termasuk dalam pemeriksaan kerentanan, tetapi perusahaan keuangan menentukan sendiri sistem mana yang diperiksa.

Sejumlah laporan mengaitkan insiden bank komersial berikutnya dengan perangkat AI. Namun, pihak berwenang masih menyelidiki peran AI, termasuk apakah teknologi itu mengotomatiskan sebagian serangan. Presiden Lee Jae Myung mengatakan AI tampaknya terlibat, tetapi metode pastinya belum diketahui. Kasus dalam seminar menunjukkan kemampuan yang dilaporkan, bukan bukti bahwa setiap kebocoran baru-baru ini menggunakan teknik yang sama.

Nasabah bank komersial menghadapi kebocoran yang terkonfirmasi

Tujuh lembaga keuangan diidentifikasi dalam rangkaian insiden peretasan terbaru: Shinhan Bank, KB Kookmin Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank, dan Hyundai Capital.

Shinhan mengungkap bahwa pihak eksternal tanpa izin melewati autentikasi pada layanan yang terhubung dengan pinjaman dan memperoleh informasi pribadi serta kredit yang terkait dengan sekitar 25.000 nasabah. Data yang terekspos mencakup nama, nomor telepon, pendapatan tahunan, dan batas pinjaman yang dihitung.

Direktur utama Shinhan, Jung Sang-hyuk, meminta maaf dan berjanji memberikan kompensasi penuh atas kerugian yang terkait dengan insiden tersebut. Sebuah firma hukum di Seoul merekrut nasabah terdampak untuk gugatan ganti rugi yang diusulkan, dengan nilai klaim 100.000 hingga 300.000 won per peserta. Tanggal pengajuan gugatan belum diumumkan.

Di KB Kookmin, serangan terhadap sistem dukungan kerja seluler membobol informasi milik 119 nasabah. Personel dari KB Kookmin, Hana, Hyundai Capital, dan Welcome Savings Bank menghadiri seminar keamanan pada September. Shinhan diwakili oleh seorang pejabat dari grup keuangannya, sedangkan BNK Busan tidak tercantum sebagai peserta.

Catatan kehadiran menunjukkan beberapa organisasi yang terdampak telah menerima peringatan tak lama sebelum insiden terjadi. Namun, catatan itu tidak menjelaskan kegagalan spesifik yang memungkinkan setiap penyusupan, atau apakah langkah pencegahan tertentu akan mampu menghentikannya.

Alokasi keamanan tidak sama dengan belanja keamanan

Data yang diserahkan otoritas keuangan kepada anggota parlemen dari Partai Kekuatan Rakyat Park Sung-hoon menunjukkan 20 perusahaan keuangan dengan gangguan TI paling sering menganggarkan 438 miliar won untuk keamanan informasi pada 2025, tetapi hanya membelanjakan 305 miliar won. Tingkat realisasinya sekitar 69,6%, sehingga 133 miliar won tidak terserap.

Shinhan mengalokasikan sekitar 45,3 miliar won dan membelanjakan 31,7 miliar won, dengan tingkat realisasi yang dilaporkan sebesar 69,9%. Alokasi anggarannya untuk 2026 sebesar 40,5 miliar won, sekitar 10,6% di bawah anggaran tahun sebelumnya. KB Kookmin mengalokasikan 67,6 miliar won dan membelanjakan 39,3 miliar won, dengan tingkat realisasi 58,1%.

Park Sung-hoon, anggota parlemen yang memperoleh angka belanja tersebut, memandang investasi sebagai persoalan kepercayaan publik:

Investasi keamanan yang tidak memadai tidak bisa dianggap sekadar persoalan efisiensi manajemen; ini menyangkut kepercayaan terhadap sistem keuangan.

Pengungkapan dari pemberi pinjaman milik negara juga menunjukkan sumber daya yang tidak merata. Jumlah staf keamanan KDB turun dari 23 orang pada akhir 2024 menjadi 19 pada akhir 2025, sebelum naik kembali menjadi 22 pada Juni 2026. IBK memiliki 46 staf keamanan khusus pada akhir 2025, sementara Export-Import Bank memiliki sembilan orang.

Pengukuran jumlah staf IBK yang terpisah mencatat 72,5 personel internal dan alih daya, termasuk 53,5 staf internal dan 19 staf alih daya. Pengukuran yang lebih luas ini tidak dapat disamakan dengan jumlah 46 staf khusus. Investasi keamanan IBK pada 2025 sebesar 66,1 miliar won, atau 15,1% dari total investasi TI.

Angka anggaran KDB mengandung perbedaan pelaporan yang lebih besar. Angka dalam bahasa Korea menyebut anggaran keamanannya sebesar 17,231 miliar won pada paruh pertama 2026, turun dari 17,611 miliar won pada 2025. Ringkasan bahasa Inggris menyebut 172,31 miliar dan 176,11 miliar won, sepuluh kali lipat angka tersebut. Keduanya menggambarkan penurunan sebesar 2,2%.

Rencana investasi dan persoalan penyedia layanan yang lebih luas

KB Kookmin sedang mempertimbangkan anggaran keamanan informasi di atas 100 miliar won untuk 2027, disertai peningkatan sistem deteksi dan pencegahan penyusupan serta firewall web. Usulan itu menyangkut besaran anggaran, bukan kenaikan yang telah dipastikan sebesar 100 miliar won.

Shinhan berencana menambah investasi keamanan serta merekrut spesialis keamanan AI dan peretas etis. Hana sedang meninjau arsitektur zero trust, yang mewajibkan pemeriksaan akses, alih-alih otomatis memercayai pengguna atau perangkat hanya karena berada di dalam jaringan. Woori sedang mempertimbangkan kenaikan anggaran di atas 20% dan penambahan tenaga spesialis lebih dari 10%.

Seorang perwakilan pemberi pinjaman milik negara mengatakan bank melakukan uji penetrasi dari sudut pandang penyerang dan berencana terus meningkatkan investasi serta pemeriksaan. Tenggat pelaksanaan yang spesifik untuk langkah-langkah tersebut belum diumumkan.

Peristiwa di luar sektor perbankan menunjukkan risiko yang timbul dari kontraktor dan data yang disimpan. Informasi lebih dari 100.000 pengguna platform pelatihan etika sektor publik terekspos dari sistem lama yang digantikan pada April 2025. Seorang kontraktor menyimpan catatan lama itu alih-alih menghapusnya setelah peralihan sistem. Catatan yang tersisa kemudian dihapus.

Oasis Security juga melaporkan dugaan kebocoran yang melibatkan Yoido Full Gospel Church dan SaRang Church. Materi yang terkait dengan Yoido mencakup sekitar 960.000 catatan anggota dan 330.000 catatan donasi. Jumlah catatan tersebut tidak menunjukkan berapa banyak orang berbeda yang terdampak. Kedua gereja sedang menyelidiki.

Hal-hal yang belum terjawab

Pertanyaan utama yang belum terjawab menyangkut bagaimana para penyerang bank komersial baru-baru ini memperoleh akses, seberapa besar peran AI, dan apakah investasi yang direncanakan akan benar-benar diwujudkan menjadi pekerjaan keamanan. Belum ada penjelasan teknis umum yang dikonfirmasi untuk ketujuh lembaga keuangan tersebut.

Angka-angka perbankan juga perlu ditafsirkan secara cermat. Perbedaan periode pelaporan, pembulatan angka tiap lembaga, dan perbedaan pengukuran jumlah staf membatasi perbandingan langsung. Tidak adanya pembobolan yang dilaporkan di empat lembaga publik merupakan hal penting, tetapi tidak menghapus bukti terpisah mengenai gangguan situs web dan kebocoran melalui penyedia layanan.

Regulator telah mengarahkan perusahaan keuangan untuk memeriksa sistem yang dapat diakses dari luar, memperkuat autentikasi dan izin akses, serta bertukar informasi ancaman. Kang menyerukan simulasi serangan dan latihan terkoordinasi. Ujian praktis berikutnya adalah memastikan langkah-langkah tersebut mencakup layanan, antarmuka, dan kontraktor yang benar-benar dapat menjadi jalur akses ke informasi sensitif.

Poin Utama

• Bank of Korea dan tiga pemberi pinjaman milik negara mencatat 1.024.478 upaya peretasan hingga September 2026, 9,6% di atas total sepanjang 2025.
• IBK menyumbang 91,9% dari total upaya kumulatif yang dilaporkan sejak 2020.
• Serangan penolakan layanan menjadi kategori terbesar, dengan 2.275.006 upaya.
• Keempat lembaga melaporkan tidak ada pembobolan akibat upaya yang dihitung, sementara insiden terpisah melibatkan gangguan layanan dan penyedia pelatihan Bank of Korea.
• Insiden terbaru di bank komersial mengungkap informasi milik sekitar 25.000 nasabah Shinhan dan 119 nasabah KB Kookmin.
• Pihak berwenang masih menyelidiki penggunaan AI dalam serangan terbaru.
• Dua puluh perusahaan keuangan membelanjakan 305 miliar won dari 438 miliar won yang dialokasikan untuk keamanan pada 2025.
• Sejumlah bank berencana atau sedang mempertimbangkan peningkatan investasi, tetapi tanggal penyelesaian yang pasti belum diumumkan.