韓国金融7社で6.7万人超の情報流出 AI支援型サイバー攻撃の可能性、金融当局が全業界点検

韓国の金融機関を狙った一連のサイバー攻撃で、情報流出が確認された金融会社が7社に広がっている。韓国メディアの10月5日までの報道では、新韓銀行、KB国民銀行、ハナ銀行、BNK釜山銀行、イェガラム貯蓄銀行、ウェルカム貯蓄銀行、現代キャピタルで侵害が確認され、影響を受けた人数は合計6万7000人を超えるとされる。
特に新韓銀行では約2万5000人分の情報が流出した。氏名や電話番号だけでなく、年収や融資限度額などの情報も含まれ、一部では住民登録番号も対象となった。KB国民銀行では119人、ハナ銀行では89人、BNK釜山銀行では外部委託先の開発担当者11人の情報流出が確認されている。
今回注目されているのが、攻撃にAIツールが利用された可能性だ。韓国金融当局によると、複数の侵害事案で同一攻撃者とみられるIPアドレスが確認されたほか、一部の攻撃関連サーバーでは中国語ベースの自律型侵入テストツール「ARTEX AI」に関連する文字列が確認された。
ARTEX AIはLLMと複数のAIエージェントを組み合わせ、情報収集、脆弱性探索、攻撃経路の計画、セキュリティツールの実行、結果に応じた攻撃方法の修正などを自動化できるオープンソースの侵入テストシステムとされる。ただし、ARTEX AIが実際に今回の攻撃で使用されたかは調査中であり、ツールが中国語ベースであることだけから攻撃主体を中国と断定することはできない。
攻撃はインターネットバンキングの中核システムそのものではなく、従業員向け業務支援システムや融資関連サービスなど、外部からアクセス可能な周辺システムを狙ったケースが目立つ。新韓銀行では攻撃開始から最終的な遮断まで約30時間を要したと報じられている。
韓国金融委員会は金融業界全体へ緊急点検を指示。銀行・カード会社には10月6日まで、証券・保険・貯蓄銀行などには10月8日までに、外部公開IT資産、アクセス制御、認証、攻撃IPの遮断状況などを確認するよう求めている。
現時点では、今回の一連の侵害による直接的な金銭被害は確認されていない。一方、氏名、連絡先、所得、融資関連情報などを組み合わせたスミッシングやボイスフィッシングなどの二次被害が発生する可能性について、韓国当局が注意を呼びかけている。