金融機関などで個人情報流出が相次ぐ

李在明（イ・ジェミョン）大統領は10月4日、金融機関や公共機関で続いている個人情報流出について報告を受け、関係当局に徹底的な調査と対策づくりを指示しました。大統領は、事態を「重大な問題」として受け止め、原因の究明と必要な対応に万全を期すよう求めたとされています。

韓国では、新韓銀行、国民銀行、ハナ銀行、ＢＮＫ釜山銀行などで、外部からのサイバー攻撃を受けて顧客情報が流出する事案が起きています。攻撃に人工知能（AI、データから特徴を学び、文章作成や作業の自動化などを行う技術）が利用された可能性も指摘されていますが、各事件の詳しい手口やAIの関与は調査で確認される必要があります。

大統領の指示は、個々の流出事案の確認にとどまらず、金融機関や公共機関の情報管理と、事故発生後の対応を総点検するよう求めるものです。

大手銀行以外にも広がる懸念

報告によると、被害は銀行だけに限られず、貯蓄銀行やキャピタル会社、相互金融機関など、いわゆる「第二金融圏」にも広がっているとみられます。第二金融圏とは、大手銀行以外の金融会社や地域に根ざした金融機関などを指す言葉です。たとえば、銀行以外で融資や預金に関わる事業者も、顧客情報を扱う以上、サイバー攻撃の対象になる可能性があります。

複数の種類の金融機関で相次いで問題が起きていることから、当局は、各社のシステムに共通する弱点がないか、攻撃の手口に関連性があるかを調べる必要があります。ただし、現時点で公表された情報だけでは、すべての事件が同じ攻撃者や同一の手法によるものかどうかは分かっていません。

  • 調査では、どの情報が流出したのか、影響を受けた人が何人いるのかを確認することが重要です。
  • 不正アクセスの経路や、侵入を防げなかった原因も検証対象になります。
  • 顧客への通知や被害拡大を防ぐ措置が、適切な時期に実施されたかも問われます。
  • 金融機関だけでなく、情報を預かる委託先や関連事業者の管理体制も確認が必要です。

個人情報が悪用される二次被害

氏名や連絡先などの情報が流出すると、情報そのものが盗まれるだけでなく、本人になりすました電話やメッセージに悪用されるおそれがあります。たとえば、実際の銀行名や本人の状況を知っているように装い、「口座に問題がある」「融資の確認が必要だ」と連絡して、暗証番号や認証情報を聞き出す手口です。

こうした詐欺は、相手の名前や利用している金融サービスに合わせて内容を変えることで、見破りにくくなる場合があります。AIは文章の作成や情報の整理を助ける技術ですが、攻撃側が悪用すれば、より自然で相手に合わせた詐欺の連絡を大量に作るために使われる可能性もあります。実際に今回の攻撃でどのような技術が使われたかは、調査結果を待つ必要があります。

大統領、企業への責任強化を予告

李大統領は今回の指示に先立つ9月30日にも、Ｘ（旧ツイッター）への投稿で、個人情報を扱う事業者に対する責任を強める考えを示していました。事故が起きた場合、企業が対策費用を節約して得た利益を上回る水準の課徴金を科すほか、厳しい刑事処罰を行い、被害者が集団訴訟を通じて民事上の賠償を受けやすくするという内容です。

課徴金は、法律違反などに対して行政機関が企業に支払いを命じる金銭的な制裁です。集団訴訟は、同じような被害を受けた複数の人が、まとめて企業に賠償を求める仕組みを指します。個人情報流出では一人ひとりの損害が小さく見えることもあり、個別に訴訟を起こす負担が大きくなりがちなため、救済の方法を整えることが課題となります。

大統領は、情報保護への投資を先送りした企業が、事故後に軽い負担で済むことのないよう、金銭的・刑事的な責任と被害者救済を強化する姿勢を示しています。

問われるのは予防と事故後の対応

金融機関は、口座や取引の情報など、生活や資産に直結するデータを大量に扱います。そのため、情報流出は不審な連絡や詐欺被害につながるだけでなく、顧客が金融サービスを安心して利用できるかどうかにも影響します。調査では、攻撃を受けたシステムの安全性だけでなく、異常を検知する仕組みや、被害が起きた際に利用者へ知らせる手順も確認されることになります。

また、AIを使った攻撃が疑われる場合でも、対策の中心は「AIを使っているかどうか」だけではありません。誰がどの情報にアクセスできるのかを管理すること、不要なデータを長期間保存しないこと、侵入を想定した訓練を行うことなど、基本的な情報セキュリティー（データやシステムを不正利用から守る取り組み）が重要です。

今後、調査で明らかにされるべき点

  • 流出した情報の種類と、影響を受けた顧客の範囲。
  • 攻撃が始まった時期と侵入経路、AIが使われたかどうか。
  • 金融機関が異常を把握した時期と、顧客への連絡・被害防止策。
  • 企業や委託先の管理責任、再発防止策の実効性。
  • 課徴金や刑事処罰、集団訴訟の制度をどう適用するか。

制度と信頼の立て直しが焦点に

今回の一連の流出を受け、今後は事件ごとの原因究明に加え、金融機関全体の防御力や、事故後に顧客を支援する仕組みがどこまで整っているかが焦点になります。強い罰則を設けるだけでなく、企業が日常的に安全対策へ投資し、事故を早期に報告し、被害者に必要な情報を届ける仕組みを機能させられるかが重要です。

一方、AIの利用が確認された場合も、技術そのものを一律に問題視するのではなく、攻撃に使われた方法と、守る側の対策不足を具体的に切り分ける必要があります。調査結果と政府の対応が、金融機関に実効性のある改善を促し、顧客の被害を減らせるかが問われています。