hankyoreh

/ロイター・聯合ニュース

　韓国で新韓銀行を皮切りに国民銀行、ハナ銀行、釜山銀行まで、4日間に4つの銀行でハッキング攻撃による個人情報の流出事故が相次いで発生した。ウリィ銀行と農協銀行も同時期にハッキング攻撃を受けたことが確認された。大手銀行を狙った攻撃が同時多発的に行われており、個々の金融機関のセキュリティ事故という枠を超える様相を呈している。人工知能（AI）を活用した攻撃の可能性が指摘されているなか、民間企業や公共部門に対しても全方位的な攻撃が行われた可能性があるとの懸念が出ている。

　2日、韓国の金融業界によると、前日の1日に新韓銀行が顧客約2万5000人の情報流出を発表したのに続き、2日には国民銀行、ハナ銀行、釜山銀行でも、顧客または従業員の情報が流出したことが判明した。先月29日以降の4日間に、銀行4行で個人情報の流出が確認されたことになる。ウリィ銀行と農協銀行も外部からのハッキング攻撃を受けたが、現時点で情報流出は確認されていないと発表した。

　国民銀行とハナ銀行では、従業員が業務で使用するシステムが攻撃を受け、それぞれ顧客119人と89人の融資情報などの個人情報が流出した。国民銀行からは、顧客名や電話番号、住所、暗号化された住民登録番号などが、ハナ銀行からは、住民登録番号や氏名、住所、メールアドレス、電話番号、勤務先名などが流出した。釜山銀行では、外部委託先の開発担当者11人の氏名、電話番号、メールアドレス、生年月日などが外部にさらされた。

　相次ぐ事故には、外部からアクセス可能な業務支援・照会システムが攻撃経路となったという共通点がある。新韓銀行では、融資募集人向けの照会サービスが攻撃の出発点となり、国民銀行・ハナ銀行・釜山銀行では、いずれも従業員が利用する業務支援システムが攻撃を受けた。

　攻撃内容をみると、ハッカー集団による攻撃は執拗だった。国会政務委員会所属の与党「共に民主党」のソン・ミョンス議員が入手した新韓銀行の報告書によると、ハッカーは先月28日午後6時4分ごろに初めて侵入したと推定される。その後、顧客番号などを無作為に入力してサービスを探ったうえで、午後7時11分から融資申請結果など6つのサービスを集中的に照会した。新韓銀行は翌日の午前9時30分に攻撃を初めて検知し、日本や米国などから接続されたIPアドレスを相次いで遮断したが、香港・シンガポール・ベトナム・タイ・英国など、別の国・地域のIPアドレスを通じた攻撃が続いた。攻撃は30日午前0時15分に最後のIPアドレスが遮断された後、ようやく止んだ。

　今回の攻撃が複数の銀行を標的に同時多発的に行われたことから、人工知能（AI）エージェントが活用された可能性も指摘されている。AIエージェントとは、人間が一つひとつ指示しなくても、与えられた目標に従って必要な作業を自ら判断し実行するAIを指す。ハナ銀行と釜山銀行は、いずれもAIエージェントを活用した攻撃だと推定していることを明らかにした。

　金融業界にとどまらず、民間企業から公共機関、政府にいたるまで、全方位的な攻撃が行われた可能性も指摘されている。嘉泉大学のチェ・ギョンジン教授（法学）は、「現時点で明らかになっているだけでもこれだけあり、小規模な企業まで全方位的に攻撃した可能性がある」としたうえで、「同じ攻撃をわざわざ1、2カ所に集中させる必要はない」と述べた。現時点で明らかになっている被害が攻撃範囲のすべてだと断定はできないということだ。

　金融委員会はこの日、金融監督院・金融保安院や銀行・カード会社などのセキュリティ担当者を招集して緊急対応会議を開き、外部からアクセス可能なコンピュータシステム全般について、自主的にセキュリティ点検を行うよう指示した。ただし、攻撃が銀行業界全体で同時多発的に行われたことに加え、AIが利用された可能性まで指摘されていることから、金融業界による自主点検だけで十分なのかとの懸念も出ている。ハッキング攻撃が金融業界以外の企業や公共機関にまで及んだかどうかを確認するため、政府を挙げた点検の必要性も提起されるものとみられる。