金融監督院（금융감독원）が最近、韓国の金融機関を狙ったハッキング攻撃に使われたとみられるIPアドレス（インターネットに接続された機器のアドレス）19件を、米国・日本を含む12カ国から絞り込んだと、業界関係者を通じて伝えられた。ハナ銀行（하나은행）やKB国民銀行（KB국민은행）、新韓銀行（신한은행）など複数の金融会社で先週、相次いで顧客情報の流出が発生し、警察は6日に正式な捜査に着手した。新韓銀行は木曜日、顧客約2万5,000人の氏名、電話番号、年収が流出したと発表した。

背景と経緯

今回の攻撃では、人工知能（AI）エージェントを基盤とするハッキングに使われたとみられるIPアドレスを、金融監督院が絞り込んだと伝えられている。ただし、IPアドレスを特定したという事実だけで、攻撃を実行した主体や侵入経路が確認されたわけではない。原文には、アドレスごとの情報や、それぞれのアドレスが確認された具体的な国も示されていない。

被害が一つの金融会社にとどまっていない点も重要だ。原文によると、ハナ銀行やKB国民銀行、新韓銀行を含む複数の金融会社で顧客情報の流出が発生したが、新韓銀行以外の会社については、流出規模や情報の種類は明らかにされていない。さらに多くの金融会社が被害を受けた可能性が懸念されるなか、各社は追加攻撃に備えて自社のセキュリティーシステムを点検している。

警察庁国家捜査本部（경찰청 국가수사본부）は、金融機関へのハッキング事件について、情報通信網法（정보통신망법）違反の疑いで立件し、正式な捜査に切り替えたと明らかにした。2日から立件前の調査を進めた後、サイバーテロ捜査隊を専任捜査チームに指定し、4チーム28人を投入する方針だ。警察は、侵害されたシステムが電子金融基盤施設に該当するかどうかについて金融委員会（금융위원회）に法令解釈を依頼し、重大犯罪捜査庁（중대범죄수사청）への通知対象となるかどうかも検討している。

李在明大統領は週末、今回の攻撃について徹底した調査を求めた。金融監督院によるIPアドレスの確認、警察の捜査着手、金融会社のセキュリティー点検は、それぞれ攻撃の痕跡の把握、事件の調査、追加被害の防止に重点を置いた措置だ。この段階で、いずれか一つの措置だけで被害の全容や攻撃の経緯が明らかになったとは言えない。

このニュースが意味すること

顧客にとっては、情報が流出したかどうか、また、どの情報が影響を受けたかが最優先の関心事となる。新韓銀行の発表により、顧客約2万5,000人の氏名・電話番号・年収が流出したことは確認されたが、他の金融会社の顧客については、被害規模や情報の種類はまだ示されていない。したがって、金融業界の複数社で流出が発生したという事実と、個人ごとの被害範囲は分けて考える必要がある。

金融会社にとっては、自社システムの点検に加え、実際に侵害があったかどうか、露出した情報の範囲を確認することが重要になり得る。当局がIPアドレスを絞り込んだとしても、攻撃者が誰なのか、どの経路から侵入したのか、追加被害があったのかは、別途確認する必要がある。警察の捜査と各金融会社による被害確認が進まなければ、顧客は自分への影響を具体的に判断できない。

たとえば金融会社の顧客は、自分が情報流出の対象となった顧客かどうか、また流出した項目が何かについて、その会社から正式な案内があるか確認できる。ただし、現在公表されている情報だけでは、新韓銀行以外の顧客の被害の有無を判断する基準や、個別の対応策は示されていない。

確認された事実と、まだ分かっていないこと

確認された事実

  • 金融監督院が最近、金融機関へのハッキングに使われたとみられるIPアドレス19件を12カ国から絞り込んだと、業界関係者を通じて伝えられた。
  • ハナ銀行・KB国民銀行・新韓銀行など複数の金融会社で、先週、顧客情報の流出が発生した。
  • 新韓銀行は、顧客約2万5,000人の氏名・電話番号・年収が流出したと発表した。
  • 警察は情報通信網法違反の疑いで正式な捜査に着手し、専任捜査チームとして4チーム28人を投入する方針だ。
  • 金融会社は追加のハッキングの試みに備え、自社のセキュリティーシステムを点検している。

まだ分かっていないこと

  • 19件のIPアドレスの具体的なアドレスと、アドレスごとに確認された国はどこか。
  • 攻撃の背後関係と実際の侵入経路は確認されたのか。
  • 新韓銀行以外の金融会社で流出した情報の種類と規模はどの程度か。
  • 侵害されたシステムが電子金融基盤施設に該当するかどうか、また、それによって捜査手続きがどのように進むかは、まだ確定していない。

読者が確認すべきこと

  • 取引のある金融会社が、自分の情報が流出したかどうか、また露出した項目について正式に案内しているか確認する。不明な点があれば、金融会社に直接問い合わせることができる。
  • 金融監督院や警察による今後の発表で、IPアドレスの確認内容や捜査結果、追加被害の有無が具体化されるかを確認する必要がある。
  • 金融会社ごとの被害範囲が確認されるまでは、流出全体の規模を断定せず、自分に該当する案内があるかを分けて確認することが重要だ。

参考資料