韓国、金融機関16社での情報漏えいを確認　約10万件の個人情報が流出

韓国の金融セクターが抱えるセキュリティ上の問題は、銀行だけにとどまらない広がりを見せています。規制当局は、16の金融機関で情報漏えいが発生し、約10万件の個人情報が流出したことを確認しました。

金融委員会（FSC）は10月14日、金融規制当局や政府機関との第2回緊急対応会議を受け、被害範囲の拡大を公表しました。

調査は現在も続いており、当局は各機関がシステムの侵害の痕跡を調べる中で、影響を受ける機関がさらに増える可能性があると警告しています。

被害を受けた機関は、銀行4行、貯蓄銀行4行、専門金融会社2社、オンライン投資連携金融プラットフォーム2社、電子金融サービス事業者1社、仮想資産事業者2社、協同組合系金融機関1社です。韓国メディアの報道によると、こうした内訳になっています。

新たに被害が判明したのは、DB貯蓄銀行、KDBキャピタル、Brightfix、Streami、Prabangの5社です。StreamiはGopax暗号資産取引所を運営しており、Prabangも暗号資産取引サービスを提供しています。

FSCは、氏名、電話番号、住民登録番号、メールアドレスを含む約10万件の記録が流出したとみています。流出した情報の中に、銀行口座番号や決済カード番号は確認されていません。

AIの関与は調査中

韓国当局は、攻撃者がどのように侵入したのか、また人工知能（AI）が何らかの役割を果たしたのかを調べています。FSCはあわせて、セキュリティ点検の実施、脅威の早期検知、連携したインシデント対応を進める方針を発表しました。

今回の情報漏えいは、個々の企業の枠を超えた弱点を浮き彫りにしました。金融機関555社を対象としたセキュリティ審査では、旧式のソフトウェア、サポートが終了したシステム、24時間体制の監視の不備など、130件の不備が報告されました。ソウル経済新聞が伝えています。

規制当局は、脆弱性点検の強化、情報共有の改善、経営幹部や技術責任者のセキュリティ上の責任の明確化を計画しています。あわせて、中小の金融機関が外部に露出したシステムを把握し、脅威に対処できるよう、AIを活用した監視の導入も検討しています。

今回の調査結果は、外部ネットワークに接続されるシステムやサービスの増加に、業界の防御が追いついていない可能性を示しています。攻撃者が決済情報を入手できなかったとしても、盗まれた個人の識別情報は、標的型フィッシング、なりすまし、顧客アカウントの乗っ取りの試みに悪用される恐れがあります。

被害機関が従来型の銀行業務、融資、決済、暗号資産サービスにまたがっていることも、インシデント対応を複雑にしています。顧客がこれらのサービスを複数利用している場合、流出した個人情報が1組あるだけで、犯罪者は複数のプラットフォームで巧妙に接近できるようになります。

16機関すべてを同じ攻撃者が狙ったのか、各インシデントに共通の脆弱性があるのかは、調査でまだ確定していません。

韓国の金融機関の顧客は、本名やその他の個人情報を使った不審なメッセージ、電話、メールに注意が必要です。身に覚えのない依頼に応じて、見慣れないリンクをクリックしたり、認証コードを伝えたり、パスワードを入力したりしないようにしてください。

利用できる場合は、多要素認証を有効にし、固有のパスワードを使い、見覚えのない取引やログイン試行がないか口座の動きを確認することが重要です。情報が流出した疑いがある場合は、金融機関の公式サイトやアプリから問い合わせてください。

当局は決済カード番号や銀行口座番号の流出を確認していませんが、流出した個人情報だけでも、詐欺被害につながるリスクは残ります。

調査は継続中です。規制当局は、金融機関が引き続きシステムの侵害の痕跡を点検する中で、新たに被害機関が判明する可能性があると警告しています。

関連ニュース: ドローン攻撃でYandexのデータセンターが被害を受けたと報じられる。サービス障害が発生し、重要なデジタルインフラが直面する物理的なセキュリティリスクが浮き彫りになりました。