韓国の金融委員会は、国内の金融機関を標的とした一連のサイバー攻撃を受けて緊急会議を開催し、Shinhan Bankでデータ侵害が発生したことに加え、KB Kookmin Bankを含む他の銀行にもセキュリティー事案が及んだことを確認した。当局は事件の通報を受けて現地調査を開始し、韓国インターネット振興院（KISA）など関係機関と実行可能な情報を共有している。
現地メディアの報道によると、これらの侵入により多数の顧客のデータが被害を受けた可能性がある。Shinhan Bankでは2万5000人の顧客情報が流出したとされる一方、KB Kookmin Bankでは11万9000人の顧客に関するクレジットカード情報が流出したと伝えられている。また、Hana Bankの販売支援システムでも限定的な侵入が明らかになった。情報源は、侵入方法や攻撃者がシステム内にとどまった期間を特定できる十分な技術的詳細を示していない。
金融機関への即時措置
当局は金融企業に対し、顧客に直接向けられていないシステムを含め、ネットワーク外部から利用可能なすべてのシステムとサービスについて緊急レビューを実施するよう要請した。指示には、必要のない公開データや情報の削減、認証およびアクセス制御における脆弱性の有無の確認、脅威情報の交換と対応調整の迅速化、そして内部のセキュリティー検査結果の速やかな提出が含まれている。
また、金融委員会は消費者保護と補償を監督し、事件を分析して必要な規制上の改善を特定すると約束した。これは、金融機関および公的機関に影響を及ぼした個人データ流出について、韓国のLee大統領が全面的な調査を指示したことを受けたものだ。
AI支援攻撃の仮説について何が分かっているのか
公式チャンネルは攻撃の実行者を特定しておらず、Shinhan Bankへの侵入に人工知能が使用されたことも確認していない。しかし、Yonhap通信は、攻撃に使用されたサーバーが、ARTEX AIに関連する中国語の表現を含むHTMLページのタイトルを持っていたと報じた。ARTEX AIは、情報収集、脆弱性の発見、攻撃経路の計画、セキュリティーツールの実行、脆弱性の検証を自動化するエージェントを用いる、オープンソースの侵入テストシステムである。
この表現の存在は、攻撃を特定の脅威主体に結び付けるものではなく、ARTEX AIが実際に銀行に対して使用されたことを証明するものでもない。Genian Security Centerの代表であるMoon Jong-hyunは、複数の脅威分析者が人工知能を利用して攻撃を自動化するツールの使用を疑っていると述べたが、この見解は公式には確認されていない。
なぜこのニュースが重要なのか
今回の事件が重要なのは、被害を受けた機関の規模と、自動化された攻撃が顧客向けではないシステムにまで移行した可能性という2つの要因が重なっているためであり、後者は委員会の指示でも重視された点だ。AIの仮説については、事件の説明とみなす前に追加のフォレンジック証拠が必要である。情報源は現時点で、言及されたツールが侵入に使用されたかどうかを証明しておらず、責任主体や最終的な被害規模も特定していない。そのため、発表された措置に基づく実務上の優先事項は、依然として攻撃対象領域の縮小、アクセスの監査、脅威情報の迅速な交換である。