韩国金融监督院对Toss Payments、Coem Payments现场检查：中国籍黑客先行通报，卡号与部分密码疑泄露

Coem Payments说明，因被攻陷系统处理的支付请求数据结构特点，卡号与有效期可能已被包含在泄露范围内，部分支付方式下还可能暴露与生日相关的信息及密码前两位。由于卡号、有效期与部分密码均已泄露，当局不排除发生境外欺诈支付等二次损害，已启动异常金融交易侦测系统（FDS）。

Toss Payments方面则称自身系统未被直接入侵，而是某商户网站支付集成平台的认证凭据（integration key）外泄，第三方利用该密钥查看了该商户的交易明细。共4131条交易记录被访问，涉及2671人，信息为买家姓名、脱敏卡号与授权号等小票级信息，不含密码、有效期与CVC。公司表示仅凭这些信息无法完成支付或取消，尚未发现欺诈交易。

本案最值得关注的一点是发现路径：黑客先向韩国互联网振兴院（KISA）等相关机构举报了攻击事实与所获数据，金融监管部门与部分受害企业在此前均不知情。这暴露出中小支付机构在入侵检测与日志审计上的能力缺口。

金融业界同时关注该黑客可能使用了生成式人工智能。由于AI可辅助漏洞发现与攻击代码生成，攻击门槛降低，中小金融机构及外包服务商等安全投入相对薄弱的“最弱环节”更易成为目标。业界批评部分中国AI模型针对恶意请求设置的护栏效力有限。