韓国金融委員会、金融セクターで新たな情報漏えいを公表

韓国金融委員会は2026年10月28日、国内金融業界で新たに発生した一連のハッキング被害を公表した。暗号資産交換業者Bithumbの情報漏えいを受けて緊急点検会議を開き、Daishin Securitiesでも顧客情報の流出が新たに確認された。

金融委員会によると、緊急会議はデジタル金融政策局長のYu Yeong-jun氏が議長を務め、金融監督院（FSS）、金融保安院（FSI）、デジタル資産交換業者連合DAXA、Bithumbが出席した。会議では、主要な暗号資産事業者に影響を及ぼした侵害事案が取り上げられたと、韓国語の発表で明らかにした。

Bithumbは当局に対し、異常な外部アクセスにより、Bithumbとその子会社、提携企業の従業員情報が流出した兆候を確認したと報告した。また、ユーザー情報が流出したかどうかは、引き続き確認中だという。同社はさらに、侵害されたシステムは従業員の業務を支援するもので、暗号資産取引の中核的なコンピューター設備ではなかったと報告した。暗号資産ウォレットのアドレスなど、不正な決済や暗号資産の送金に利用できる情報の流出は、現時点で確認されていない。

FSCは、Mirae Asset Life InsuranceとMirae Asset Global Investmentsから最近、事故報告が提出されたこと、また事故の調査過程でDaishin Securitiesにおける追加の顧客情報漏えいが確認されたことを明らかにした。Daishin Securitiesは2026年10月28日9時59分、公式のお知らせ掲示板に「個人（信用）情報漏えいに関するお知らせとお詫び」と題する告知を掲載した。

規制当局の対応と今後予定されるセキュリティ強化策

金融委員会、金融監督院、金融保安院は、現地調査を直ちに開始し、関係機関間で迅速に情報を共有するとともに、緊密に連携して事案の原因究明に全力を尽くすと述べた。当局は、消費者に被害が生じないよう徹底して確認し、被害が発生した場合には、全額補償などの消費者保護措置が実施されるよう管理・監督するとした。

金融委員会は、暗号資産分野を含め、現在は電子金融取引法の適用対象となっていない分野について、銀行など主要金融機関と同水準までセキュリティを強化するため、多角的な対策を進めると述べた。また、事案発生時に迅速に対応できる態勢を整える方針だという。Mirae Asset Life Insurance、Mirae Asset Global Investments、Daishin Securitiesなど第2金融圏の企業については、金融監督院と金融保安院が事案を徹底的に調査し、被害者保護策を講じると規制当局は述べた。

10月に先行した情報漏えいの波

10月28日に公表された事案は、金融委員会が2026年10月初旬から対応していた一連の情報漏えいに続くものだ。金融委員会は2026年10月14日の金融セクターのサイバーセキュリティ管理に関する会議で、金融業界全体で計16社にデータ漏えいが確認されたと発表した。規制当局の英語での発表によると、漏えいした顧客データは約10万件に上ると推定され、氏名、連絡先、住民登録番号、メールアドレスなどが含まれていた。当時、口座のパスワードやクレジットカード番号が漏えいしたハッキング事案は報告されていなかった。

当局は被害を受けた企業に対し、ハッキング攻撃に関連するIPアドレスを直ちに遮断し、セキュリティパッチの適用やサービスの停止など追加措置を講じるとともに、必要な消費者保護策をすべて実施するよう指示した。金融監督院と金融保安院は現地調査を通じて個々の事案を調べ、攻撃経路や手口、事案同士に関連があるか、同一の攻撃者によるものか、ハッキングに人工知能が利用されたかを確認していた。

発表によると、全555社の金融機関が12項目のサイバーセキュリティチェックリストへの対応を完了した。425社はサイバーセキュリティ管理策が適切だと報告した一方、130社は改善が必要な項目を挙げた。不備の大半はセキュリティパッチや統制システムに関するもので、従来型の分野に比べてサイバーセキュリティ能力が相対的に低いと発表で説明された、電子金融サービスとオンラインP2P融資の分野で多く見られた。

10月14日の会議では、当局は4つの政策措置についても協議した。金融機関のサイバーセキュリティ管理体制を徹底的に点検すること、各社が把握したサイバー脅威のリスクを当局へ迅速に報告し、他の金融機関とも共有できるよう対応の仕組みを改善すること、サイバー脆弱性テストをより頻繁かつ定期的に実施するための規制上の根拠を設けること、そしてAIを活用したサイバーセキュリティ上の脅威への対応を支援するため、中小金融機関へのセキュリティ支援の拡充を検討することだ。

先立つ2026年10月6日、FSCとFSSは、個人情報の漏えいを受け、フィッシング攻撃や融資詐欺の可能性についてレベルI（注意）の消費者向け警戒情報を発出し、1か月間の特別対応期間を開始した。金融機関には、影響を受けた消費者向けの相談窓口を設置し、盗まれた消費者データを使った不審な取引の不正検知・監視を強化するとともに、フィッシング関連情報を共有するため、AIを活用したフィッシング対策情報共有・分析プラットフォーム（ASAP）を積極的に利用するよう指示が出された。当時、金銭的被害を伴うフィッシング詐欺は確認されておらず、当局は、その後の被害事例が確認された場合、警戒情報をレベルII（警告）に引き上げると述べた。

CrowdStrike、エージェント型AIを使った攻撃キャンペーンの詳細を公表

CrowdStrike Intelligenceは2026年10月7日に報告し、韓国の金融機関を標的とした攻撃キャンペーンに関連するインフラを特定したと明らかにした。このキャンペーンは2026年9月下旬から10月上旬にかけて活動し、データの窃取につながったという。報告によると、この攻撃で脅威アクターは、大規模言語モデルと併せて、最近公開された中国開発のオープンソースのエージェント型ペネトレーションテストツールARTEXを使用した。

報告によると、脅威アクターが管理する公開ディレクトリを分析した結果、Claude Codeのセッション履歴、ARTEXの設定ファイル、Claudeのメモリファイルが見つかった。ARTEXのインスタンスではDeepSeek v4.1-flashが主要な大規模言語モデル（LLM）バックエンドとして使われ、追加のセッションにはGLM-5.3とGrok 4.6が併用されていた。また、攻撃者が管理する主要なインフラとして、香港を拠点とするIPアドレスが使われていた。CrowdStrikeは、ARTEXの使用と確認された中国語のプロンプトを根拠に、脅威アクターは中国語話者で、金銭目的で活動している可能性が高いと中程度の確信度で評価した。この活動は、特定の敵対者に帰属されていない。

業界の報告を引用し、CrowdStrikeは、被害を受けた銀行のうち1行では、金融ブローカーが利用する融資進捗照会サービスが脅威アクターに侵害されたと報じられており、別の銀行では、従業員向けのモバイル業務支援システムが侵害されたと述べた。報告によると、この活動は、AIツールによって金銭目的の脅威アクターが短期間に複数の侵入を実行できることを示している。CrowdStrikeは、敵対者が今後も自らの活動にAIツールを導入する方法を試す可能性が高いと評価した。