韓国金融保安院のポータルがハッキング被害、職員情報が流出

韓国の金融セクターを守る役割を担うサイバーセキュリティ機関が、サイバー攻撃の標的となりました。

報道によると、韓国の金融保安院（FSI）の外部セキュリティ評価プラットフォームが侵害され、金融機関に関連する職員の情報が流出しました。このポータルは約3,000の組織が、セキュリティ評価文書のやり取りや評価結果の確認に利用しています。

数百人分の職員情報が流出した可能性

聯合ニュースと朝鮮日報の報道によると、攻撃者は高度な検知回避と認証情報の偽装の手口を用いました。

• なりすまし：攻撃者は金融監督院（FSS）の職員を装ってアカウントを作成しました。システムの設定上、FSSの権限を持つユーザーはポータル上のデータをすべて閲覧できるため、この仕組みを悪用しています。
• IPアドレスの切り替え：攻撃者は侵入中にIPアドレスを頻繁に変更し、不正な活動を正規の通信に見せかけました。
• 封じ込め：FSIは月曜日の午後3時ごろに不正アクセスを検知しました。影響を受けたポータルを遮断したうえで、金融委員会（FSC）と韓国インターネット振興院（KISA）に通報しました。

攻撃者がソフトウェアの脆弱性を突いたのか、既存の認証情報を侵害したのか、アカウント検証の仕組みを回避したのかについては、ここで引用した報道では特定されていません。

当局は、影響を受けたポータルが組織の内部コアネットワークから分離されており、侵入の範囲は限定的だったと説明しています。

金融当局の関係者は、Korea JoongAng Dailyに対し、「機微な個人情報は漏えいしていないとみられます」と述べています。さらに「ただし、金融セクター全体のサイバー脅威を監視するFSI自体がハッキングされたことは、社会的な信頼の観点から深刻な問題です」と指摘しました。

FSI院長が謝罪、侵害の詳細には触れず

聯合ニュースによると、FSIの朴相元（パク・サンウォン）院長は11月12日、ソウルで開かれた金融情報セキュリティカンファレンス（FISCON 2026）の開会式で公式に謝罪しました。朴院長は出席者に向かって頭を下げ、韓国の金融セクター全体のセキュリティ基準を守る立場の組織でインシデントが起きたことを遺憾だと述べました。 

FSIは今回の侵害を受けて、カンファレンスのVIP向け行事も中止しました。朴院長は内部システムの全面的な見直しと再発防止策の強化を約束しましたが、発言は1分ほどで、攻撃の原因には触れませんでした。記者の質問には答えず、会場をあとにしました。

集中型セキュリティプラットフォームのリスクが浮き彫りに

セキュリティ評価を一元的に担うプラットフォームは、複数の組織の情報が1つのシステムに集まるため、攻撃者にとって魅力的な標的になりえます。

こうしたプラットフォームが基幹の銀行ネットワークから分離されていても、不正アクセスによって職員情報や事務記録、参加機関の詳細が流出するおそれがあります。

金融当局を装ったアカウントが使われたとされる点は、特権ユーザーの本人確認と、運用上の必要性に応じたアクセス制限が重要であることも示しています。

同様のシステムを運用する組織にとって、今回のインシデントは、アカウント登録の手順、ロールベースの権限設定、多要素認証、異常なアクセスパターンの監視を見直すきっかけとなります。

銀行の担当部門と消費者への影響

金融当局は、各行の独自の脆弱性情報は漏えいしていないとしています（銀行の脆弱性）。それでも、影響を受けた組織は直ちに対応を迫られます。

• 標的型フィッシングのリスク：コンプライアンス担当者の氏名、メールアドレス、役職といった確かな情報を入手した攻撃者は、取引先の銀行に対して、巧妙に作り込んだソーシャルエンジニアリング攻撃を仕掛けることができます。
• ポータルの停止：FSIのポータルは緊急メンテナンスに入り、書類の提出業務が止まり、セキュリティ評価の確認作業にも遅れが出ています。
• 規制当局による監視の強化：金融機関は今後、外部とのデータの受け渡し経路を再点検し、過去にアップロードした評価資料から運用上のアーキテクチャ設計図が漏れていないかを確認する必要があります。

今回のインシデントは、より大きなサイバーセキュリティ上の課題を示しています。セキュリティの監督を支えるために作られたシステム自体が、価値の高い標的になりうるということです。こうしたプラットフォームを守るには、サービスの対象である金融機関と同じ水準の厳格な審査が求められます。

関連ニュース： オーストラリア、OpenAI関連のインシデントを受けてAIのセキュリティ規則を強化へ。企業が人工知能の利用時に機密情報をどう守るかという懸念が高まっています。