La banque centrale et les établissements publics de crédit sud-coréens ont fait face à plus d’un million de tentatives de cyberattaque

Neuf mois d’attaques dépassent le total de toute l’année 2025

La banque centrale sud-coréenne et trois établissements publics de crédit ont enregistré 1 024 478 tentatives de piratage entre janvier et septembre 2026, soit 89 620 de plus que les 934 858 détectées sur l’ensemble de l’année 2025, une hausse de 9,6 %. Les institutions n’ont signalé aucune intrusion réussie à la suite de ces tentatives, alors que des attaques distinctes contre des banques commerciales ont exposé des informations sur des clients.

Les chiffres transmis au député du Parti du pouvoir au peuple Kang Min-kuk et rendus publics le 11 octobre font état d’un total cumulé de 4 986 964 tentatives entre 2020 et septembre 2026. L’Industrial Bank of Korea (IBK) en représente 91,9 %, en raison de l’ampleur de ses services bancaires sur Internet et sur mobile destinés aux particuliers et aux entreprises.

Il est essentiel de distinguer les attaques tentées des intrusions confirmées pour comprendre ces chiffres. La détection d’une tentative ne prouve pas qu’un attaquant a pénétré dans un système ou dérobé des informations. À l’inverse, l’absence d’intrusion réussie dans ces données ne signifie pas que tous les services concernés ou leurs prestataires extérieurs ont échappé à des perturbations ou à une exposition de données.

Des incidents distincts illustrent cette différence. Une intrusion dans le système d’un prestataire de formation extérieur a exposé les informations de 186 employés de la Banque de Corée en mai et juin 2026. Des banques commerciales ont également fait état de fuites de données clients, ce qui a conduit les autorités de régulation à ordonner l’inspection des systèmes accessibles depuis Internet, le renforcement de l’authentification et des contrôles d’accès, ainsi qu’un meilleur partage des méthodes d’attaque et des adresses IP suspectes.

La pression ne se mesure pas seulement au nombre d’attaques. Des informations communiquées au Parlement font état de budgets de sécurité qui n’ont pas été entièrement dépensés, d’effectifs inégaux au sein des établissements publics de crédit et d’une menace émergente liée aux outils d’intelligence artificielle, capables d’accélérer la recherche de vulnérabilités.

À quel rythme les tentatives détectées ont-elles augmenté ?

Les chiffres annuels montrent une hausse ininterrompue depuis 2020. En septembre 2026, le total atteignait déjà environ 2,86 fois les 358 800 tentatives enregistrées sur l’ensemble de l’année 2020. La comparaison est d’autant plus frappante que la période la plus récente couvre neuf mois, et non une année entière.

La série montre également que l’augmentation n’a pas commencé avec les récentes attaques contre des banques commerciales :

• 2020 : 358 800 tentatives contre les quatre institutions.
• 2021 : 564 430 tentatives.
• 2022 : 585 563 tentatives.
• 2023 : 738 312 tentatives.
• 2024 : 780 524 tentatives.
• 2025 : 934 858 tentatives. Le centre informatique de la Banque de Corée, dans la province de Gyeonggi, a ouvert en octobre.
• De janvier à septembre 2026 : 1 024 478 tentatives.
• Le 11 octobre 2026 : les derniers chiffres ont été rendus publics par l’intermédiaire de Kang.

Les tentatives détectées mesurent l’activité repérée par les systèmes de sécurité, et non le nombre d’attaquants individuels ou d’intrusions réussies. Des requêtes automatisées répétées peuvent générer de nombreuses détections. Les explications de l’IBK indiquent également que l’ampleur des services accessibles aux utilisateurs extérieurs compte lorsqu’on compare les institutions.

Les totaux publiés présentent une légère incohérence numérique : l’addition des chiffres annuels donne 4 986 965, soit une unité de plus que le total cumulé annoncé de 4 986 964. Cet écart ne change ni la tendance rapportée ni la concentration des tentatives à l’IBK.

Pourquoi l’IBK concentre-t-elle la majeure partie de l’activité ?

L’IBK a enregistré environ 4,584 millions de tentatives sur la période cumulée. La Korea Development Bank (KDB) suit avec 399 379 tentatives, tandis que la Banque de Corée en a recensé 3 076 et l’Export-Import Bank of Korea, 510.

L’IBK explique ce chiffre nettement supérieur par l’ampleur de ses services sur Internet et sur mobile, comparable à celle des banques commerciales. Ces services relient l’établissement à la fois aux particuliers et aux entreprises, multipliant les possibilités pour du trafic malveillant d’atteindre des systèmes accessibles au public.

Ces chiffres ne permettent pas, à eux seuls, de conclure que les défenses de l’IBK sont plus faibles que celles des autres institutions. Son explication porte sur le volume de services et de tentatives détectées, tandis que les quatre institutions n’ont signalé aucune intrusion résultant des tentatives recensées dans les données cumulées.

Le centre informatique de la Banque de Corée, dans la province de Gyeonggi, qui héberge ses principaux serveurs informatiques, a enregistré 145 tentatives depuis son ouverture en octobre 2025. Ce chiffre concerne un site précis et ne doit pas être confondu avec le total de la banque centrale, tous systèmes et toutes années confondus.

Les attaques par déni de service sont les plus fréquentes

Les attaques par déni de service représentent 2 275 006 tentatives, soit 45,6 % du total cumulé. Elles visent à rendre un service indisponible, par exemple en le submergeant de requêtes ou en consommant les ressources informatiques nécessaires à la prise en charge des utilisateurs légitimes.

Les catégories suivantes par ordre d’importance sont la collecte d’informations, avec 866 776 tentatives ; les logiciels malveillants, avec 475 026 ; et les accès non autorisés, avec 456 783. La collecte d’informations peut consister à sonder des systèmes afin d’identifier des logiciels, des fonctionnalités exposées ou des failles. Un logiciel malveillant est un programme conçu à des fins malveillantes, tandis qu’une tentative d’accès non autorisé vise à pénétrer dans un système sans autorisation valide.

Ces quatre catégories totalisent 4 073 591 tentatives. Elles ne couvrent donc pas toutes les tentatives recensées dans le total cumulé, et la répartition des catégories restantes n’a pas été précisée.

La place prépondérante des attaques par déni de service explique pourquoi les conséquences d’une attaque peuvent dépasser le vol d’informations. Un site bancaire ou un service de transaction peut devenir difficile à utiliser même si l’attaquant ne prend pas le contrôle d’un système interne.

Kang Min-kuk, député du Parti du pouvoir au peuple qui a rendu ces chiffres publics, a souligné les enjeux pour les institutions chargées de gérer les finances publiques et celles des entreprises :

Une attaque contre un établissement public de crédit pourrait perturber les systèmes financiers du pays et de l’étranger et mettre en danger des informations sensibles de l’État et des entreprises, a déclaré Kang. Nous devons nous protéger contre la multiplication des cyberattaques alimentées par l’IA et travailler avec les autorités financières pour organiser des simulations de cyberattaques.

Aucune intrusion signalée, mais une affirmation qui ne signifie pas une sécurité totale

Les quatre institutions ont déclaré que les tentatives recensées entre 2020 et septembre 2026 n’avaient pas entraîné d’intrusion. Des informations distinctes font toutefois état de perturbations antérieures et de l’exposition de données par l’intermédiaire d’un prestataire de la Banque de Corée.

Une attaque par déni de service distribué a ralenti par intermittence l’accès au site de la banque centrale en décembre 2023. En mai et juin 2026, une intrusion dans le système d’un prestataire extérieur de formation a exposé des données personnelles appartenant à 186 employés de la banque centrale. Ces incidents montrent pourquoi il faut distinguer une perturbation de service, une intrusion dans les propres systèmes d’une banque et l’exposition de données chez un prestataire.

Une autre déclaration faisait état de 136 tentatives contre la Banque de Corée en 2026 jusqu’au 2 octobre, contre 30 sur l’ensemble de l’année 2025. Parmi les cibles accessibles depuis Internet figuraient le site principal de la banque, son portail de statistiques économiques et sa bibliothèque électronique. La banque centrale a déclaré n’avoir constaté aucune intrusion réussie, perturbation ou fuite de données entre le début du mois de septembre et le 2 octobre.

L’Export-Import Bank a, de son côté, signalé 283 tentatives jusqu’au 5 octobre, contre 36 sur l’ensemble de l’année 2025. Sur ces 283 tentatives, 272 provenaient d’adresses IP étrangères. La localisation des adresses indique d’où semblait provenir le trafic, mais pas nécessairement la nationalité ou l’emplacement physique de l’attaquant.

Cette déclaration faisait également état de 197 tentatives détectées au cours des cinq années précédentes. Avec les 283 plus récentes, cela donne 480 tentatives, contre 510 dans le bilan cumulé plus large. Des dates d’arrêté ou des méthodes de comptage différentes peuvent expliquer cet écart, mais aucune réconciliation des chiffres n’a été publiée dans ces déclarations.

Ce que l’alerte sur les attaques par IA a réellement établi

Le Financial Security Institute a organisé le 17 septembre un séminaire sur la sécurité de l’IA dans le secteur financier, auquel ont participé environ 160 responsables de la sécurité. Des documents obtenus par Han Chang-min, député du Parti social-démocrate, décrivent un cas présenté lors de l’événement comme la première attaque du secteur financier sud-coréen impliquant un agent d’IA.

Un agent d’IA est un logiciel capable d’exécuter une série de tâches à l’aide d’un modèle d’IA, et non de simplement répondre à une question. Dans le cas présenté au séminaire, un attaquant a demandé à un agent reposant sur DeepSeek de localiser des programmes de serveurs financiers.

L’agent aurait trouvé et exploité des vulnérabilités en moins d’un jour, installé un logiciel permettant la prise de contrôle à distance et recherché des serveurs internes. L’entreprise financière ciblée a bloqué l’attaque avant l’installation d’autres logiciels malveillants. Son identité n’a pas été communiquée.

L’institut a recommandé de surveiller en permanence les systèmes exposés à Internet, avertissant que des inspections une ou deux fois par an pourraient ne pas détecter ce type d’activité. Il a également relevé une lacune dans le périmètre des évaluations : les interfaces de programmation d’applications, ou API, qui permettent aux sites web et aux applications d’échanger des données, sont incluses dans les contrôles de vulnérabilité, mais les sociétés financières choisissent elles-mêmes les systèmes à inspecter.

Des informations de presse ont établi un lien entre les incidents ultérieurs touchant des banques commerciales et des outils d’IA. Les autorités enquêtaient toutefois encore sur le rôle de l’IA, notamment pour déterminer si elle avait automatisé certaines parties des attaques. Le président Lee Jae Myung a déclaré que l’IA semblait avoir été impliquée, mais que les méthodes exactes n’avaient pas été établies. Le cas présenté au séminaire atteste d’une capacité signalée, mais ne prouve pas que toutes les intrusions récentes ont utilisé la même technique.

Des clients de banques commerciales victimes d’expositions confirmées

Sept établissements financiers ont été cités dans la récente série de cyberattaques : Shinhan Bank, KB Kookmin Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank et Hyundai Capital.

Shinhan a révélé qu’un tiers non autorisé avait contourné l’authentification sur un service lié aux prêts et obtenu des informations personnelles et de solvabilité concernant environ 25 000 clients. Les données exposées comprenaient les noms, les numéros de téléphone, les revenus annuels et les plafonds d’emprunt calculés.

Le directeur général de Shinhan, Jung Sang-hyuk, a présenté ses excuses et promis une indemnisation intégrale des pertes liées à l’incident. Un cabinet d’avocats de Séoul recrutait des clients concernés en vue d’une action en réparation, avec des demandes envisagées de 100 000 à 300 000 wons par participant. Aucune date de dépôt n’avait été annoncée.

Chez KB Kookmin, une attaque contre un système d’assistance au travail sur mobile a compromis les informations de 119 clients. Des employés de KB Kookmin, Hana, Hyundai Capital et Welcome Savings Bank avaient participé au séminaire de sécurité de septembre. Shinhan y était représentée par un responsable de son groupe financier, tandis que BNK Busan ne figurait pas sur la liste des participants.

Les listes de présence montrent que plusieurs organisations concernées ont reçu l’alerte peu avant les incidents. Elles ne permettent pas d’établir quelles défaillances précises ont rendu chaque intrusion possible, ni si une mesure préventive particulière aurait pu l’empêcher.

Les budgets de sécurité ne correspondent pas aux dépenses réelles

Les données transmises par les autorités financières au député du Parti du pouvoir au peuple Park Sung-hoon montrent que les 20 sociétés financières ayant connu le plus souvent des défaillances informatiques avaient budgété 438 milliards de wons pour la sécurité informatique en 2025, mais n’en avaient dépensé que 305 milliards. Le taux d’exécution s’établit à environ 69,6 %, laissant 133 milliards de wons non dépensés.

Shinhan avait prévu environ 45,3 milliards de wons et dépensé 31,7 milliards, soit un taux d’exécution déclaré de 69,9 %. Son budget pour 2026 s’élevait à 40,5 milliards de wons, environ 10,6 % de moins que celui de l’année précédente. KB Kookmin avait prévu 67,6 milliards de wons et dépensé 39,3 milliards, soit un taux d’exécution de 58,1 %.

Park Sung-hoon, le député à l’origine de la publication des chiffres de dépenses, a présenté les investissements comme une question de confiance publique :

Des investissements insuffisants dans la sécurité ne peuvent être considérés comme une simple question d’efficacité de gestion ; c’est une question de confiance dans le système financier.

Les informations communiquées par les établissements publics de crédit témoignent également de ressources inégales. Les effectifs de la KDB chargés de la sécurité sont passés de 23 à la fin de 2024 à 19 à la fin de 2025, avant de remonter à 22 en juin 2026. L’IBK comptait 46 employés affectés à la sécurité à la fin de 2025, contre neuf pour l’Export-Import Bank.

Un autre indicateur des effectifs de l’IBK recensait 72,5 personnes en interne et chez les sous-traitants, dont 53,5 employés internes et 19 employés sous-traitants. Cet indicateur plus large ne doit pas être confondu avec le décompte des 46 employés affectés à la sécurité. En 2025, l’investissement de l’IBK dans la sécurité s’élevait à 66,1 milliards de wons, soit 15,1 % de l’investissement informatique total.

Les chiffres budgétaires de la KDB présentent un écart plus important. Selon les données en coréen, son budget de sécurité s’élevait à 17,231 milliards de wons au premier semestre 2026, contre 17,611 milliards en 2025. Un résumé en anglais indique 172,31 et 176,11 milliards de wons, soit des montants dix fois supérieurs. Les deux sources font état d’une baisse de 2,2 %.

Investissements envisagés et problème plus large des prestataires

KB Kookmin envisage de consacrer plus de 100 milliards de wons à la sécurité informatique en 2027, parallèlement à la modernisation de ses systèmes de détection et de prévention des intrusions ainsi que de ses pare-feu pour applications web. Il s’agit d’un budget envisagé, et non d’une hausse confirmée de 100 milliards de wons.

Shinhan prévoit d’investir davantage dans la sécurité et de recruter des spécialistes de la sécurité de l’IA et des hackers éthiques. Hana étudie une architecture « zéro confiance », dans laquelle les accès doivent être vérifiés au lieu d’être automatiquement considérés comme fiables au seul motif que l’utilisateur ou l’appareil se trouve sur le réseau. Woori envisage une hausse de budget supérieure à 20 % et une augmentation de plus de 10 % de ses effectifs spécialisés.

Un représentant d’un établissement public de crédit a déclaré que les banques effectuaient des tests d’intrusion du point de vue d’un attaquant et prévoyaient de continuer à renforcer les investissements et les inspections. Aucune échéance précise n’a été annoncée pour la mise en œuvre de ces mesures.

Des événements survenus hors du secteur bancaire illustrent les risques liés aux sous-traitants et à la conservation des données. Les informations de plus de 100 000 utilisateurs d’une plateforme de formation à l’éthique du secteur public ont été exposées depuis un ancien système remplacé en avril 2025. Un sous-traitant avait conservé les anciennes données au lieu de les supprimer après la migration. Les données restantes ont depuis été supprimées.

Oasis Security a également signalé des expositions présumées concernant l’église du Plein Évangile de Yoido et l’église SaRang. Les données associées à l’église de Yoido comprenaient environ 960 000 dossiers de membres et 330 000 dossiers de dons. Le nombre de dossiers ne permet pas d’établir combien de personnes distinctes ont été concernées. Les deux églises enquêtaient sur ces incidents.

Les questions qui restent sans réponse

Les principales questions en suspens portent sur la manière dont les auteurs des récentes attaques contre des banques commerciales ont obtenu l’accès, sur la contribution de l’IA et sur la concrétisation des investissements prévus en travaux de sécurité achevés. Aucune explication technique commune n’a été confirmée pour les sept établissements financiers.

Les chiffres des banques doivent également être interprétés avec prudence. Les différences de périodes de référence, les chiffres institutionnels arrondis et les méthodes de comptage des effectifs limitent les comparaisons directes. L’absence d’intrusion signalée par les quatre institutions publiques est significative, mais n’efface pas les preuves distinctes de perturbation de sites web et d’exposition de données chez un prestataire.

Les autorités de régulation ont demandé aux sociétés financières d’inspecter les systèmes accessibles depuis l’extérieur, de renforcer l’authentification et les autorisations, et d’échanger des informations sur les menaces. Kang a appelé à organiser des attaques simulées et des exercices coordonnés. Le prochain test concret consistera à vérifier si ces mesures couvrent les services, interfaces et prestataires par lesquels des informations sensibles peuvent être accessibles.

À retenir

• La Banque de Corée et trois établissements publics de crédit ont enregistré 1 024 478 tentatives de piratage jusqu’en septembre 2026, soit 9,6 % de plus que sur l’ensemble de l’année 2025.
• L’IBK représente 91,9 % des tentatives cumulées signalées depuis 2020.
• Les attaques par déni de service constituent la principale catégorie, avec 2 275 006 tentatives.
• Les quatre institutions n’ont signalé aucune intrusion résultant des tentatives recensées, mais des incidents distincts ont entraîné des perturbations et l’exposition de données chez un prestataire de formation de la banque centrale.
• De récents incidents touchant des banques commerciales ont exposé les informations d’environ 25 000 clients de Shinhan et de 119 clients de KB Kookmin.
• Les autorités enquêtaient encore sur l’utilisation de l’IA dans les attaques récentes.
• En 2025, 20 sociétés financières ont dépensé 305 milliards de wons sur les 438 milliards prévus pour la sécurité.
• Plusieurs banques prévoient ou envisagent des investissements supplémentaires, mais aucune échéance ferme n’a été annoncée.