Serangan siber yang diduga digerakkan agen AI tembus 16 perusahaan keuangan Korea, termasuk dua bursa kripto

Otoritas Jasa Keuangan Korea (Financial Services Commission, FSC) mengumumkan pada Rabu, 14 Oktober 2026 bahwa jumlah perusahaan keuangan yang terbukti mengalami kebocoran data dalam gelombang serangan siber meningkat menjadi 16 perusahaan, dari tujuh perusahaan yang dilaporkan pada awal bulan. Sekitar 100.000 data pribadi terekspos, mencakup nama, detail kontak, nomor registrasi penduduk, dan alamat surel. FSC menyatakan belum menemukan bukti bahwa nomor rekening atau nomor kartu ikut bocor, sehingga risiko pembayaran palsu langsung dinilai kecil. Jumlah korban masih mungkin bertambah karena perusahaan terus mencocokkan sistem mereka dengan alamat IP penyerang yang dibagikan otoritas.

Dua dari 16 korban adalah pelaku usaha aset kripto: Streami, operator bursa Gopax yang termasuk bursa berbasis won terbesar di Korea, dan Pravang, bursa yang hanya melayani pertukaran antar-aset kripto. Selain itu ada empat bank yaitu Shinhan, KB Kookmin, BNK Busan, dan Hana; empat bank tabungan; dua perusahaan pembiayaan berupa Hyundai Capital dan KDB Capital; dua platform investasi daring PFCT dan Mouda; satu penyedia pembayaran elektronik, Brightfix; serta satu koperasi kredit. Temuan itu disampaikan dalam rapat tanggap darurat kedua yang dipimpin Sekretaris Jenderal FSC, Shin Jin-chang.

FSC secara eksplisit menyebut insiden ini sebagai dugaan serangan yang digerakkan agen AI dan masih menyelidiki apakah seluruh insiden berasal dari satu kelompok penyerang. Pemeriksaan terhadap 555 perusahaan keuangan sampai 8 Oktober 2026 menemukan kekurangan keamanan di 130 perusahaan atau 23,4 persen: tambalan keamanan yang belum dipasang, sistem tanpa dukungan vendor yang tidak terkelola, ketiadaan pemantauan keamanan 24 jam, serta kelemahan pada autentikasi dan hak akses sistem yang terhubung ke internet. Shin Jin-chang menyebut sangat mengganggu bahwa perusahaan keuangan masih gagal memenuhi persyaratan keamanan dasar.

Ada nuansa yang perlu dicatat agar tidak mencampur dua hal berbeda. Gopax menyatakan kasusnya bukan serangan berbasis AI, melainkan credential stuffing: penyerang memakai kombinasi surel dan kata sandi lama yang bocor dari situs lain lalu mencobanya di bursa. Menurut Gopax, kurang dari sepuluh akun disasar, tidak ada aset pelanggan yang hilang, dan tidak ada kebocoran data pribadi yang terkonfirmasi. Pravang melaporkan data sekitar 20 pelanggannya diambil pada 2 Oktober dan baru diungkap pada 9 Oktober. Konteks yang membuat otoritas memperluas pemeriksaan adalah laporan perusahaan keamanan CrowdStrike bahwa seseorang di Tiongkok kemungkinan memakai agen AI buatan Tiongkok dan Claude Code untuk menyerang bank-bank Korea Selatan.

Langkah yang diumumkan FSC mencakup pemetaan seluruh titik sambungan sistem keuangan ke jaringan luar, penguatan tata kelola hak akses, penegasan jalur pelaporan dan ruang tanggung jawab direktur utama, kepala keamanan informasi, dan kepala teknologi informasi, serta kenaikan frekuensi pemeriksaan kerentanan dari satu kali menjadi minimal dua kali setahun untuk perusahaan besar. Lembaga Keamanan Finansial Korea juga berencana membangun sistem pemantauan keamanan bersama berbasis AI. Bagi bank dan tim TI di mana pun, urutan yang tersirat dari insiden ini jelas: petakan lebih dulu seluruh aset yang menghadap internet, baru bicara soal otonomi agen.