Normas e-finance coreanas: evalúe su app de banca móvil en el ciclo anual y antes de cada versión.
La Ley de Transacciones Financieras Electrónicas exige a las entidades financieras y a las empresas de servicios financieros electrónicos analizar y evaluar sus infraestructuras financieras electrónicas y comunicar los resultados a la FSC. El Reglamento de Supervisión de Actividades Financieras Electrónicas fija el ciclo, el equipo y los plazos de corrección, y los criterios del Financial Security Institute ya cubren la nube y las apps móviles, con 288 apps móviles de 32 empresas previstas para evaluación en 2026. Ostorlab prueba su app y las API en las que se apoya, detrás del inicio de sesión, en cada versión.
- Evalúa la app móvil y las API a las que llama, sobre la compilación que descargan sus clientes
- Prueba el inicio de sesión, los códigos de un solo uso, las verificaciones reforzadas y la gestión de sesiones con sus cuentas de prueba
- Enumera los SDK y las bibliotecas nativas de cada versión y los asocia a vulnerabilidades conocidas
- Demuestra cada hallazgo con un exploit reproducible o con evidencia de solicitudes y respuestas
- A quién se aplica
- Bancos, empresas de servicios financieros electrónicos y otras instituciones supervisadas por la Ley de Transacciones Financieras Electrónicas, y operadores MyData bajo la Ley de Información Crediticia
- Fecha clave
- Reglamento en vigor el 15 de julio de 2026; excepción de separación de redes para SaaS desde el 20 de abril de 2026; reforma basada en principios desde el 5 de febrero de 2025
- Objeto
- Análisis y evaluación anuales de vulnerabilidades, seguridad de apps móviles y API, autenticación, integridad de programas y protección de datos
- Referencia principal
- Reglamento de Supervisión de Actividades Financieras Electrónicas y criterios de evaluación del Financial Security Institute
Los textos coreanos que rigen su canal móvil
El Reglamento se apoya en la Ley de Transacciones Financieras Electrónicas, y los criterios del Financial Security Institute lo traducen en controles. Las fechas siguientes corresponden a los textos citados en esta página.
- 13 de agosto de 2024
Hoja de ruta de separación de redes
La FSC anuncia una reforma por etapas de las reglas de separación de redes: IA generativa, uso más amplio del SaaS, mejores entornos de investigación y desarrollo, y transición hacia la autoseguridad con responsabilidad sobre los resultados.
- 5 de febrero de 2025
Reforma del Reglamento
El Reglamento se modifica para pasar de reglas detalladas a principios, reduciendo unas 293 prescripciones a 166, y añade los artículos sobre autenticación y gestión de contraseñas.
- 30 de diciembre de 2025
Criterios del FSI para 2026
El Financial Security Institute revisa sus criterios de evaluación: nueva área de gestión de la nube, controles para sistemas cuyo soporte de parches ha finalizado, servidores separados en sistema operativo e intermediario, y nuevos criterios para plataformas de activos virtuales.
- 13 de febrero de 2026
Programa de evaluación del FSI
El Financial Security Institute prevé evaluar 178 entidades financieras, amplía los criterios de 14 áreas y 789 elementos a 15 áreas y 869 elementos, y programa 288 apps móviles de 32 empresas.
- 20 de abril de 2026
Excepción SaaS a la separación de redes
Se modifican las normas de aplicación del Reglamento para permitir el SaaS en las redes de trabajo internas bajo controles estrictos, sin excepción cuando se tratan identificadores únicos o información crediticia personal.
- 29 de junio de 2026
Reunión de la FSS sobre riesgo TI
La FSS pide a 491 instituciones corregir los controles TI básicos y hacer efectivo el análisis y la evaluación de vulnerabilidades, y anuncia inspecciones en el segundo semestre que incluyen las condiciones del SaaS.
- 29 de julio de 2026
Guía de riesgo TI de terceros
La FSS y siete asociaciones sectoriales publican una guía que sitúa la responsabilidad última en el consejo y exige una estructura de control de tres niveles, la designación de terceros clave y la gestión del ciclo de vida de los contratos.
Las normas e-finance coreanas, aplicadas a su app móvil
Para cada norma: qué dice el texto, qué supone para una app de banca móvil, cómo ayuda Ostorlab y qué sigue correspondiendo a su equipo. Las leyes y el Reglamento se resumen a partir del texto coreano.
- Ley de Transacciones Financieras Electrónicas, artículo 21-3; Reglamento de Supervisión de Actividades Financieras Electrónicas, artículos 37-2 y 37-3 (texto coreano)
Realizar el análisis y la evaluación anuales de vulnerabilidades
Qué dice el texto
En virtud del artículo 21-3 de la Ley de Transacciones Financieras Electrónicas, las entidades financieras y las empresas de servicios financieros electrónicos deben analizar y evaluar sus infraestructuras financieras electrónicas, abarcando la organización, las instalaciones y el control interno de la división de TI, los dispositivos electrónicos y los medios de acceso, y las medidas de respuesta a incidentes que mantienen las transacciones financieras electrónicas, y comunicar los resultados a la FSC. El artículo 37-2 del Reglamento fija el ciclo: al menos una vez al año para las instituciones con activos totales de 2 billones de wones o más y 300 o más empleados permanentes, con las páginas de inicio públicas revisadas al menos cada seis meses, y al menos una vez al año para las demás instituciones. El trabajo lo realiza un equipo dedicado de cinco personas o más que incluye al CISO, con al menos un 30 por ciento de personal cualificado, o se confía a una institución de evaluación designada en virtud del artículo 37-3. Un plan de implementación debe eliminar cada vulnerabilidad o adoptar una medida equivalente; si no es posible, el consejero delegado aprueba la excepción y los resultados se le comunican.
Qué supone para su app móvil
La evaluación anual es la base para las entidades financieras coreanas. Si la app móvil y las API a las que llama no están en su alcance, su canal de cliente queda fuera de la evaluación.
Cómo ayuda Ostorlab
Ostorlab ejecuta pentests con agentes de IA sobre la versión publicada y las API que la sustentan, detrás del inicio de sesión, además de Mobile SAST y SCA, con un calendario que cubre el ciclo anual y cada versión. Cada hallazgo de un agente de IA incluye un exploit funcional que puede reproducir.
Qué sigue en sus manos
La evaluación institucional y su informe a la FSC, el equipo dedicado o el contrato con una institución de evaluación designada, y el plan de corrección.
- Financial Security Institute, análisis y evaluación de vulnerabilidades 2026, 13 de febrero de 2026; revisión de criterios 2026, 30 de diciembre de 2025 (texto coreano)
Incluir las apps móviles en el alcance del FSI
Qué dice el texto
El Financial Security Institute (FSI) realiza la mayor parte del trabajo de análisis y evaluación de vulnerabilidades y revisa sus criterios cada año. Para 2026 amplió los criterios de infraestructura financiera electrónica de 14 áreas y 789 elementos en 2025 a 15 áreas y 869 elementos, añadió 73 criterios específicos para entornos de nube, reforzó los controles de sistemas y equipos cuyo soporte de parches de seguridad ha finalizado y creó un equipo de pruebas de intrusión. Preveía evaluar 288 apps móviles de 32 empresas en 2026. Sus controles de seguridad fintech también incluyen una revisión de vulnerabilidades de servicio para móvil y web, que las instituciones de open banking y los operadores MyData utilizan para sus revisiones periódicas.
Qué supone para su app móvil
La seguridad de las apps móviles forma parte permanente del sistema de evaluación coreano, no es un extra. Los criterios examinan la app, sus protecciones del lado cliente y su autenticación, además del lado servidor.
Cómo ayuda Ostorlab
Ostorlab prueba los controles que describen esos criterios: análisis binario con análisis de propagación (taint) sobre la app y sus SDK integrados, comprobaciones en tiempo de ejecución de las protecciones de root, jailbreak, manipulación y pinning, y pruebas autenticadas de las API detrás del inicio de sesión. Los hallazgos se corresponden con los controles que pide su evaluador.
Qué sigue en sus manos
La contratación de la evaluación, la relación con el FSI o una institución designada y la presentación de informes institucionales.
- Reglamento de Supervisión de Actividades Financieras Electrónicas, artículo 34(1)4 (texto coreano)
Verificar la integridad del programa de transacción
Qué dice el texto
El artículo 34(1)4 del Reglamento exige a las entidades financieras y a las empresas de servicios financieros electrónicos ofrecer un medio para verificar que el programa de transacción financiera electrónica, incluidos los mensajes de transacción, no ha sido falsificado ni alterado.
Fuente:Reglamento de Supervisión de Actividades Financieras Electrónicas, artículo 34(1)4 (texto coreano)
Qué supone para su app móvil
Una app modificada o un mensaje de transacción modificado deben ser detectables. La detección de manipulación y los controles de integridad son la parte de la app; el backend debe comprobar la parte de la transacción.
Cómo ayuda Ostorlab
Mobile Shielding Scan prueba en tiempo de ejecución la detección de root y jailbreak, la protección contra manipulación y el pinning, e indica qué protecciones resistieron y cuáles se eludieron; Mobile SAST examina la lógica de integridad en el binario.
Qué sigue en sus manos
La elección de la tecnología de protección, lo que hace la app cuando falla un control de integridad y las comprobaciones de transacción en el backend.
- Reglamento de Supervisión de Actividades Financieras Electrónicas, artículos 34-2, 34-3 y 19-2, añadidos el 5 de febrero de 2025 (texto coreano)
Gestionar los métodos de autenticación y las contraseñas
Qué dice el texto
El Reglamento se modificó el 5 de febrero de 2025 y añadió el artículo 34-2, que exige métodos de autenticación seguros que tengan en cuenta el tipo, la naturaleza y el nivel de riesgo de la transacción; el artículo 34-3, que exige que las contraseñas de los usuarios se almacenen cifradas y no sean legibles, fija reglas para su creación y cambio, exige suspender las transacciones tras varias entradas erróneas de contraseña y verificar la identidad antes de reanudarlas, e impone la entrada mediante teclado PIN o equivalente; y el artículo 19-2, que exige un plan de gestión de los medios de autenticación, como contraseñas y datos biométricos, que cubra su emisión, conservación, cambio periódico y el tratamiento de los errores de autenticación.
Qué supone para su app móvil
El bloqueo, la política de contraseñas y el tratamiento de los datos biométricos son comportamientos que impone el backend. La app no debe poder saltárselos ni debilitarlos, y los flujos de cliente que los usan deben resistir.
Cómo ayuda Ostorlab
Las pruebas autenticadas cubren el inicio y el cierre de sesión, los códigos de un solo uso, los flujos de autenticación reforzada, el bloqueo tras fallos repetidos, la renovación de tokens, los tiempos de espera y la invalidación de sesiones, junto con las llamadas a la API que hay detrás.
Qué sigue en sus manos
La política de autenticación, la elección de factores y la atención a los clientes con la cuenta bloqueada.
- Reglamento de Supervisión de Actividades Financieras Electrónicas, artículo 36 (texto coreano)
Superar la revisión interna de seguridad antes de un nuevo servicio
Qué dice el texto
El artículo 36 del Reglamento exige una revisión interna de seguridad, conforme a las normas y procedimientos fijados por la FSS, antes de ofrecer un nuevo servicio financiero electrónico a través de redes de información. El informe de la revisión se presenta a la FSS en los 30 días siguientes al inicio del servicio, y la FSS puede exigir mejoras cuando considera insuficiente el nivel de seguridad.
Fuente:Reglamento de Supervisión de Actividades Financieras Electrónicas, artículo 36 (texto coreano)
Qué supone para su app móvil
Los nuevos servicios y los cambios importantes necesitan una revisión de seguridad antes del lanzamiento, y la app es donde los clientes se encuentran con el servicio. Esperar al después del lanzamiento deja la revisión sin evidencia técnica.
Cómo ayuda Ostorlab
Los pentests previos al lanzamiento de la app y de las API que la sustentan aportan la evidencia técnica que necesita la revisión interna de seguridad; la monitorización de las versiones publicadas muestra qué cambió tras el lanzamiento.
Qué sigue en sus manos
La revisión en sí, el informe a la FSS y las decisiones sobre su alcance.
- Reglamento de Supervisión de Actividades Financieras Electrónicas, artículo 15; hoja de ruta de la FSC sobre separación de redes, 13 de agosto de 2024; FSC y FSS, excepción SaaS a la separación de redes, 20 de abril de 2026 (texto coreano)
Afrontar la reforma de la separación de redes
Qué dice el texto
El Reglamento exige separar los sistemas de trabajo internos de las redes externas, con excepciones limitadas. La hoja de ruta de la FSC del 13 de agosto de 2024 sobre la mejora de la separación de redes fijó una reforma por etapas: permitir el uso de IA generativa, ampliar el uso de software en la nube, mejorar los entornos de investigación y desarrollo y avanzar hacia un marco de autoseguridad con responsabilidad sobre los resultados. El 20 de abril de 2026 se modificaron las normas de aplicación del Reglamento para añadir el SaaS a las excepciones. El SaaS puede usarse en las redes de trabajo internas cuando ha sido evaluado por una institución de respuesta a incidentes como el FSI, los terminales como ordenadores y dispositivos móviles están protegidos, se aplican la autenticación segura y el mínimo privilegio, los flujos de información importante se monitorizan y controlan, se bloquean el uso compartido innecesario y el acceso no autorizado a internet, se cifran los tramos de red, y el cumplimiento se evalúa dos veces al año y se comunica al comité de protección de la información presidido por el CISO. No hay excepción cuando se tratan identificadores únicos o información crediticia personal, y la información seudonimizada sigue pasando por el procedimiento de servicio financiero innovador.
Qué supone para su app móvil
La reforma cambia dónde se trabaja, no lo que esperan los clientes. El desarrollo y las herramientas pueden pasar a servicios en la nube, pero la app y sus API siguen necesitando pruebas, y algunos datos no pueden salir del país.
Cómo ayuda Ostorlab
Los escaneos de Ostorlab se ejecutan desde su pipeline de CI/CD o on-premises detrás de su cortafuegos, en una infraestructura que usted controla, de modo que el artefacto de la app y los datos de prueba permanecen dentro de su entorno. No se necesitan datos de clientes de producción.
Qué sigue en sus manos
La arquitectura de red, las evaluaciones de SaaS y las evaluaciones semestrales con el informe al comité.
- FSS, guía de gestión del riesgo TI de terceros, 29 de julio de 2026; Financial Security Institute, plataforma de seguridad de la cadena de suministro de software, 28 de julio de 2025 (texto coreano)
Gestionar el riesgo TI de terceros y la cadena de suministro
Qué dice el texto
El 29 de julio de 2026, la FSS y siete asociaciones sectoriales publicaron la guía de gestión del riesgo TI de terceros. El consejo asume la responsabilidad última, una estructura de control de tres niveles (departamento de gestión general, departamento de gestión de riesgos y departamento de auditoría interna) gestiona el riesgo, los terceros relevantes para la institución o sus clientes se designan por separado y se revisan al menos cada seis meses, y los contratos cubren la diligencia debida, los roles y la responsabilidad, la continuidad, la salida y la destrucción de datos. El FSI anunció el 28 de julio de 2025 una plataforma de seguridad de la cadena de suministro de software que ofrece gestión integrada de vulnerabilidades, gestión de SBOM y operación de bug bounties, plenamente operativa desde 2026.
Qué supone para su app móvil
Los SDK integrados en su app y los backends a los que llaman son terceros. Sus componentes necesitan versiones, vulnerabilidades conocidas y un responsable, y el contrato y el registro de revisión deben concordar.
Cómo ayuda Ostorlab
SCA y SBOM enumeran los SDK y las bibliotecas nativas de cada versión con sus versiones y su ubicación en el paquete de la app, los asocian a vulnerabilidades conocidas y siguen su cierre versión tras versión. El análisis de red muestra con qué backends se comunican la app y sus SDK.
Qué sigue en sus manos
La diligencia debida, los contratos, el registro de terceros y el informe al consejo.
- Ley de Protección de Datos Personales, artículos 29 y 34; normas de la PIPC sobre la seguridad de los datos personales, aviso n.º 2026-9 (texto coreano)
Proteger los datos personales conforme a la PIPA
Qué dice el texto
La Ley de Protección de Datos Personales exige a los responsables del tratamiento adoptar las medidas técnicas, de gestión y físicas necesarias para proteger los datos personales (artículo 29), y notificar a los interesados y comunicar a la Personal Information Protection Commission o a la Korea Internet and Security Agency en los casos previstos cuando los datos personales se pierden, roban o filtran (artículo 34). Las normas de la PIPC, aviso n.º 2026-9 en vigor desde el 1 de julio de 2026, fijan las medidas mínimas: gestión de las autoridades de acceso, control de accesos incluyendo autenticación segura para el acceso remoto y protección de los dispositivos móviles, cifrado incluso cuando se transmiten datos personales por tramos de internet, conservación y comprobación mensual de los registros de acceso, prevención de programas maliciosos, preparación ante desastres y controles sobre las salidas y copias.
Qué supone para su app móvil
El teléfono forma parte del entorno de tratamiento. Las contraseñas, los tokens y los datos personales deben cifrarse, los accesos deben registrarse y hay que evitar su exposición en el almacenamiento, los registros, las capturas de pantalla y las cachés.
Cómo ayuda Ostorlab
Ostorlab busca tokens de sesión y datos personales en el almacenamiento local, las cachés, los registros y las capturas de pantalla, comprueba las protecciones del transporte y los errores de configuración que las debilitan, y detecta claves de API y credenciales en el paquete de la app.
Qué sigue en sus manos
El plan de gestión interno, el rol de delegado de protección de datos, la notificación y comunicación de brechas y las revisiones de acceso.
- Ley de Uso y Protección de la Información Crediticia, artículos 19 y 32; reglamento de supervisión de la actividad de información crediticia, revisión anual de vulnerabilidades MyData; FSI, evaluación permanente de protección de la información, 28 de abril de 2026 (texto coreano)
Cubrir la información crediticia y las revisiones MyData
Qué dice el texto
La Ley de Uso y Protección de la Información Crediticia exige a las empresas y usuarios de información crediticia implantar medidas de seguridad técnicas, físicas y de gestión para proteger el sistema informático de información crediticia frente a accesos no autorizados, alteraciones, destrucciones y otros riesgos (artículo 19), y fija las reglas para proporcionar y usar información crediticia personal con el consentimiento del interesado (artículo 32). Según el reglamento de supervisión de la actividad de información crediticia, los operadores MyData deben someter su servicio a revisión del FSI cuando se desarrolla o cambia de forma sustancial, y realizar una revisión de vulnerabilidades de seguridad al menos una vez al año por el FSI, una institución de evaluación designada conforme al Reglamento o un equipo dedicado. La evaluación permanente de protección de la información del FSI cubre a unas 3.000 entidades financieras bajo la Ley y, para 2026, reforzó los criterios de derechos de acceso y registros, cifrado de datos personales, vigilancia de comportamientos anómalos, minimización de salidas, revisiones de vulnerabilidades, detección y bloqueo de intrusiones, protección contra programas maliciosos y consentimiento.
Qué supone para su app móvil
Si su app forma parte de un servicio MyData o de información crediticia, ya se espera una revisión anual de vulnerabilidades de seguridad, y en ella aparecen los controles de la app y de las API.
Cómo ayuda Ostorlab
Ostorlab prueba la app y sus API frente a esas áreas de control y produce evidencia para cada hallazgo, de modo que la revisión anual pueda centrarse en los elementos institucionales.
Qué sigue en sus manos
La licencia y el proceso de revisión MyData, la revisión anual y la evaluación permanente.
- FSS, reunión de respuesta al riesgo TI, 29 de junio de 2026 (texto coreano)
Corregir, informar y volver a probar
Qué dice el texto
En la reunión de respuesta al riesgo TI del 29 de junio de 2026, la FSS indicó a 491 instituciones que algunas tenían controles TI básicos débiles y expuso cinco puntos para prevenir accidentes financieros electrónicos: cumplir los controles TI básicos, hacer más efectivo el análisis y la evaluación de vulnerabilidades, reforzar la seguridad de las instalaciones eléctricas, evitar accesos no autorizados por redes inalámbricas y seguir los procedimientos de respuesta a incidentes y de comunicación. Pidió a las instituciones definir con claridad el alcance y los criterios de las evaluaciones de vulnerabilidades, establecer planes de corrección, evitar la aceptación excesiva de riesgos y hacer seguimiento de las correcciones. En el segundo semestre de 2026 inspeccionará el cumplimiento de los controles TI básicos y de las condiciones del SaaS.
Fuente:FSS, reunión de respuesta al riesgo TI, 29 de junio de 2026 (texto coreano)
Qué supone para su app móvil
Una evaluación que termina en un informe no basta. Los supervisores miran el alcance, los plazos, las correcciones y las nuevas pruebas, y si los mismos problemas reaparecen.
Cómo ayuda Ostorlab
Los hallazgos se convierten en tickets en la plataforma o en Jira y ServiceNow, con su gravedad, y se vuelven a probar tras la corrección; el historial de tickets es el registro de la corrección.
Qué sigue en sus manos
El alcance y los criterios, las decisiones de aceptación de riesgos y la comunicación a los supervisores.
Resumen de textos coreanos públicos, consultados el 27 de septiembre de 2026. Las leyes y el Reglamento se resumen a partir del texto coreano. Esta página no constituye asesoramiento jurídico.
Normas coreanas, control por control
Los controles a los que apuntan los textos coreanos, cómo los prueba Ostorlab en su app y sus API, y la evidencia que puede conservar.
| Control | Cómo ayuda Ostorlab | Evidencia que conserva |
|---|---|---|
| Análisis y evaluación anuales de vulnerabilidadesLey e-finance, art. 21-3; Reglamento, art. 37-2 | Pentest con agentes de IA de la versión publicada y de sus API, detrás del inicio de sesión, planificado con el ciclo anual y cada versión. Detalles | Un exploit funcional que puede reproducir para cada hallazgo de un agente de IA, y un mapa de calor de cobertura |
| Evaluación de apps móviles en los criterios del FSICriterios FSI 2026 | Análisis binario de APK, AAB e IPA con análisis de propagación sobre la app y sus SDK integrados. Detalles | Hallazgos estáticos con el código y la ubicación de los componentes, por versión |
| Integridad del programa de transacciónReglamento, art. 34(1)4 | Prueba en tiempo de ejecución la detección de root y jailbreak, la protección contra manipulación y el pinning, e indica qué protecciones resistieron. Detalles | Un informe de ejecución que muestra cada protección y su resultado en la versión publicada |
| Autenticación, bloqueo y gestión de sesionesReglamento, arts. 34-2, 34-3, 19-2 | Inicia sesión con códigos de un solo uso y prueba la aplicación de la MFA, los flujos de autenticación reforzada, el bloqueo tras fallos repetidos y la invalidación de sesiones. Detalles | Hallazgos sobre los flujos de inicio de sesión y autenticación reforzada, con pasos de reproducción, y registros de sesión y tokens |
| Revisión interna de seguridad antes de un nuevo servicioReglamento, art. 36 | Mobile DAST y pentests previos al lanzamiento de la app y sus API aportan la evidencia técnica de la revisión. Detalles | Resultados de escaneo previos al lanzamiento por compilación y por cambio de servicio |
| Credenciales integradas en la app y las APIReglamento, art. 19-2 | Detecta claves de API, tokens y credenciales en el paquete de la app y valida si funcionan. Detalles | Secretos validados, con los permisos y servicios que exponen |
| SDK, componentes y plazos de correcciónGuía FSS de terceros; plataforma FSI de cadena de suministro | Identifica mediante huellas las bibliotecas compiladas estáticamente y las relaciona con vulnerabilidades conocidas, de una versión a otra. Detalles | Identidad, versión y ubicación de cada componente, con recomendaciones de actualización o sustitución y cierre seguido entre versiones |
| Protección de los datos en el dispositivo y en tránsitoPIPA art. 29; normas PIPC; Ley de Información Crediticia art. 19 | Intercepta el tráfico de la app incluso con TLS pinning, y busca tokens y datos personales en el almacenamiento, las cachés, los registros y las capturas de pantalla. Detalles | Evidencia del sistema de archivos y de las solicitudes que muestra qué se escribió o envió, dónde y cuándo |
| Condiciones de separación de redes y pruebas on-premisesReglamento, art. 15; normas de aplicación, 20 de abril de 2026 | Ejecuta los escaneos detrás de su cortafuegos o VPN, en una infraestructura que usted controla, para que los artefactos y los datos de prueba permanezcan dentro. Detalles | Resultados de escaneo y registros que permanecen en su entorno |
| Corrección, plazos y nuevas pruebasReunión FSS, 29 de junio de 2026 | Agrupa los hallazgos en tickets en la plataforma o en Jira y ServiceNow, y vuelve a probar tras la corrección. | Historial de tickets y resultado de la nueva prueba de cada hallazgo |
Ostorlab prueba los controles de la app y de sus API. La evaluación institucional, el equipo dedicado, la supervisión del SOC, la respuesta a incidentes y su notificación, la comunicación de brechas, la gobernanza, los contratos con terceros y el informe al consejo siguen correspondiendo a sus equipos.
Controles coreanos que probar en su app móvil
Una lista práctica para los equipos de seguridad y de riesgo de sistemas, basada en la Ley de Transacciones Financieras Electrónicas, el Reglamento y los criterios de evaluación del FSI.
Alcance de la evaluación anual
Incluya la app móvil y las API a las que llama en el alcance del análisis y la evaluación de vulnerabilidades, con una frecuencia que cubra el ciclo anual y cada versión.
Revisión interna de seguridad
Ejecute una prueba previa al lanzamiento de la app y de las API que la sustentan para cada nuevo servicio o cambio importante, y conserve los resultados en el expediente de la revisión.
Integridad del programa
Compruebe que la app detecta manipulaciones y que el backend verifica la integridad de las transacciones, no solo la app.
Autenticación y bloqueo
Pruebe la MFA, los códigos de un solo uso, los flujos de autenticación reforzada y el bloqueo tras fallos repetidos con sus cuentas de prueba.
Componentes y plazos
Mantenga una lista versionada de los SDK y las bibliotecas de cada versión, relaciónela con vulnerabilidades conocidas y fije plazos de corrección según la gravedad.
Secretos y datos en el teléfono
Busque claves de API, tokens y datos personales en el paquete, el almacenamiento, los registros y las capturas de pantalla, y renueve cualquier credencial que funcione.
Terceros y SaaS
Para cada backend de SDK y cada SaaS de la cadena de entrega, conserve la evaluación, el contrato y el registro de revisión, y comunique la evaluación semestral del SaaS al comité de protección de la información.
Corregir, informar y volver a probar
Siga los hallazgos hasta su cierre, vuelva a probar tras la corrección y conserve el historial de tickets para el informe de evaluación y el seguimiento de la FSS.
Una lista sugerida, no una plantilla de la FSS o del FSI. Esto no constituye asesoramiento jurídico.
Las capacidades detrás de esta página
Cada una tiene su propia página con los detalles.
- Mobile Agentic Deep ScanLos agentes de IA realizan el pentest de la versión publicada en cada release, con un exploit funcional que puede reproducir para cada hallazgo de un agente de IA.Más información
- Pruebas autenticadasPruebe el inicio de sesión, los códigos de un solo uso y la autenticación reforzada con sus cuentas de prueba.Más información
- Pruebas de API y backendIntercepte el tráfico de la app incluso con TLS pinning y pruebe las API y los backends detrás de cuentas y pagos.Más información
- Mobile SASTAnálisis estático basado en el binario de archivos APK, AAB e IPA, con análisis de propagación (taint) en toda la app y sus SDK integrados.Más información
- SCA y SBOMDetecte dependencias vulnerables, incluidas las bibliotecas nativas compiladas estáticamente, y haga un seguimiento de su cierre versión tras versión.Más información
- Mobile Shielding ScanPruebe en tiempo de ejecución la detección de root y jailbreak, la protección contra manipulación y el pinning, y vea qué protecciones resistieron y cuáles se evadieron.Más información
- Su propia clave de IAEjecute los escaneos con agentes de IA con la clave de su proveedor de IA y un límite de gasto por escaneo, según sus políticas internas.Más información
- Escaneo on-premisesEscanee apps de preproducción, API y repositorios detrás de su firewall o VPN, en una infraestructura que usted controla.Más información
Bancos y fintechs confían en nosotros, entre ellos
Fuentes
Los textos oficiales en los que se basa esta página, consultados el 27 de septiembre de 2026.
- Electronic Financial Transactions Act (전자금융거래법)Texto coreano, versión vigente en law.go.kr. Artículo 21 (obligaciones de seguridad), artículo 21-2 (CISO), artículo 21-3 (análisis y evaluación de vulnerabilidades de la infraestructura financiera electrónica) y artículo 21-5 (notificación de incidentes)
- Regulation on Supervision of Electronic Financial Activities (전자금융감독규정)Aviso de la FSC n.º 2026-29, en vigor el 15 de julio de 2026, texto coreano. Análisis y evaluación de vulnerabilidades (37-2), instituciones de evaluación (37-3), notificación de incidentes (37-4), cifrado de transacciones e integridad de programas (34), autenticación y contraseñas (34-2, 34-3, 19-2), revisión interna de seguridad (36), nube y separación de redes (14-2, 15). Modificado el 5 de febrero de 2025 para pasar de reglas detalladas a principios
- 「금융분야 망분리 개선 로드맵」 발표 (Financial sector network separation improvement roadmap)FSC, 13 de agosto de 2024, texto coreano. Reforma por etapas para la IA generativa, el SaaS y los entornos de investigación y desarrollo, y orientación hacia un marco de autoseguridad con responsabilidad sobre los resultados
- 4월 20일부터 금융회사는 내부 업무망에서 클라우드 기반 응용소프트웨어(SaaS)를 보다 원활하게 활용할 수 있습니다 (SaaS network separation exception)FSC y FSS, 20 de abril de 2026, texto coreano. Las normas de aplicación del Reglamento modificadas; las condiciones del uso de SaaS en las redes de trabajo internas y los datos que no obtienen excepción
- 금융보안원, 2026년도 취약점 분석·평가 실시 (FSI, 2026 vulnerability analysis and assessment)Financial Security Institute, 13 de febrero de 2026, texto coreano. 178 instituciones, criterios ampliados a 15 áreas y 869 elementos, 73 criterios de nube, 288 apps móviles de 32 empresas y el nuevo equipo de pruebas de intrusión
- 금융감독원, 전자금융사고 대응 역량 및 IT복원력 강화를 위한 「금융IT 리스크 대응회의」 개최 (FSS Financial IT Risk Response Meeting)FSS, 29 de junio de 2026, texto coreano. Cinco puntos para prevenir accidentes financieros electrónicos, incluidos los controles TI básicos y la eficacia del análisis y la evaluación de vulnerabilidades
- 금융회사의 제3자 IT리스크 관리 가이드라인 마련 (Third-party IT risk management guideline)FSS con siete asociaciones sectoriales, 29 de julio de 2026, texto coreano. Responsabilidad del consejo, estructura de control de tres niveles, terceros clave y ciclo de vida de los contratos; normas modelo de las asociaciones desde noviembre de 2026
- 개인정보의 안전성 확보조치 기준 (Standards for ensuring the safety of personal information)Personal Information Protection Commission, aviso n.º 2026-9, en vigor el 1 de julio de 2026, texto coreano. Medidas técnicas y de gestión mínimas conforme al artículo 29 de la Ley de Protección de Datos Personales: autoridades de acceso, control de accesos, cifrado, registros de acceso, prevención de programas maliciosos, preparación ante desastres y controles de salida
Preguntas frecuentes
Respuestas claras sobre cobertura, configuración y cómo llegan los resultados a su equipo.
¿No encuentra su respuesta? Reserve una demo o contáctenos.
Evalúe su app de banca móvil como lo describen las normas coreanas
Empiece con un escaneo gratuito de su app desde la tienda, o reserve una demo para realizar con nuestro equipo pruebas con sesión iniciada de su app y sus API.