金融16社で侵害事故、情報約10万件が流出

韓国の金融機関16社でサイバー侵害事故が確認され、流出した情報は約10万件に上る。暗号資産事業者の스트리미と프라뱅も対象に含まれた。

韓国金融委員会は10月14日の関係機関会議で、신한은행の侵害事故の前後に銀行、貯蓄銀行、与信専門金融業、電子金融業、暗号資産事業者など16社で事故を確認したと発表した。各金融会社は、攻撃に使われたIPアドレスをもとに追加の侵害がないか調べている。

金融委が把握した流出情報は、氏名、連絡先、住民登録番号、メールアドレスなど約10万件。口座の暗証番号やカード番号など、不正決済につながる情報の流出は発表時点で確認されていない。この数値は金融業界全体の集計で、会社ごとの規模は公表されていない。

스트리미は、暗号資産取引所ゴパックスの運営会社だ。金融委の発表では、스트리미と프라뱅で流出した情報の内訳や被害顧客数、侵害の経緯は個別に明らかにされなかった。金融委は以前、外部公開システムのセキュリティ点検を実施しており、今回は金融業界全体の事故状況とセキュリティ強化策を示した。

金融委は、金融会社555社を対象に12項目のセキュリティチェックリストを点検し、130社から一部不備の報告を受けたと発表した。主な指摘事項は、最新のセキュリティパッチの未適用、技術サポートが終了したシステムの管理、24時間体制のセキュリティ監視の未整備、外部システムの認証・アクセス制御の不備だった。点検は各社の自己評価に基づいており、不備を報告した会社は改善計画を提出し、対応に着手した。

金融当局は、外部と接続するシステム上の接点を一覧化し、認証やアクセス権限を厳格に管理するよう指導する方針だ。最高経営責任者（CEO）、最高情報セキュリティ責任者（CISO）、最高情報責任者（CIO）の報告体制と責任範囲も明確にする。

大手金融会社の脆弱性点検を年2回以上に増やすほか、金融会社間の脅威情報共有、人工知能（AI）を活用した脆弱性検知、中小金融会社へのセキュリティ支援も課題として掲げた。詳細な点検範囲と日程は、金融業界と協議して決める予定だ。

金融監督院と金融保安院は、侵入経路や攻撃の種類、各事件の関連性、同一の攻撃者によるものかどうか、AIが使われた可能性を調査している。