韓国の金融3社は10月28日、サイバーインシデントを公表した。同国の金融セクターを狙う攻撃が増加しているとの懸念が強まる中での発表となった。
大信証券は、3万8490人の顧客に関する個人情報と金融情報が流出したことを確認した。未来アセット・グローバル・インベストメンツは社内システムへの不正アクセスを別途報告し、暗号資産取引所のBithumbは社内モバイルシステムに関わる情報漏えいを調査している。
これらのインシデントが共通の攻撃者によるものだとは確認されておらず、未来アセットとBithumbで顧客情報がどの程度流出したかも明らかになっていない。ただし今回の公表は、相互接続されたシステム全体で金融機関が顧客情報をどのように保護しているのかについて、新たな疑問を投げかけている。
大信証券、3万8490人の顧客への影響を確認
同社は10月17日、オンラインでの口座開設に関連するサーバーへの不審なアクセスを検知した。10日間にわたり約6万件の不審なリクエストを調査した結果、10月26日に情報漏えいを確認し、規制当局にインシデントを報告した。
流出した情報には、氏名、メールアドレス、住所、銀行名、口座番号、携帯電話番号が含まれていた。大信証券は、口座番号と携帯電話番号は暗号化しており、公表時点で基幹業務システムへの不正アクセスや二次被害の証拠は見つかっていないと説明した。
同社は影響を受けた顧客に個別に通知し、損失を被った顧客に補償すると法律に基づいて述べた。また、不正な活動を検知・阻止するシステムの改善とアクセス制御の強化も予定している。
未来アセットとBithumbが情報漏えいを調査
The Korea Timesによると、未来アセット・グローバル・インベストメンツは社内データが流出したものの、一般顧客の個人情報や信用情報は漏えいしていないと説明した。
金融当局はこのインシデントの調査を開始した。一方、暗号資産取引所のBithumbは、社内モバイルシステムに関わる情報漏えいを報告した。同社は顧客の会員情報が流出したかどうかを調査しており、インシデントの範囲は明らかになっていない。
今回の3件の公表から、各社が同じ攻撃者に狙われたと断定することはできない。
金融セキュリティをめぐるより広範な問題
今回のインシデントは、韓国の金融機関を相次いで襲った攻撃の波に続くものだ。金融委員会は10月初め、16社で約10万件のデータ漏えいを伴う侵害が発生していたと報告した。その後、BigGo Financeは影響を受けた企業数が少なくとも20社に増えたと報じた。
セキュリティ上の弱点は、確認済みの情報漏えいにとどまらない。555社の金融企業を対象とした規制当局の調査では、130社（23.4％）がセキュリティ管理上の不備を報告していたと、BigGo Financeは報じている。
この130社すべてがサイバー攻撃を受けたという意味ではないが、金融機関を脆弱にしかねない抜け穴の存在を示している。
Seoul Economic Dailyは、専門家が、より強力なセキュリティ監督、情報共有の改善、頻発する攻撃に対する自動防御を求めていると報じた。セキュリティ上の責任と監督を強化する韓国のデジタル金融安全法案は、なお停滞している。
補助システムが依然としてセキュリティリスクとなる理由
大信証券の情報漏えいは、投資口座の開設など日常的なサービスを支えるシステムが、機密情報を狙う攻撃者の侵入口になり得ることを示している。
金融機関は、顧客へのサービス提供や外部パートナーとの連携のため、相互接続されたプラットフォームに依存している。こうした接続性は業務効率を高める一方、保護すべきシステムの数も増やす。
基幹銀行システムや投資システムが影響を受けていなくても、脆弱な補助サーバーによって情報が流出する可能性がある。
金融企業は、資金を直接保管するインフラだけでなく、外部公開アプリケーション、口座開設システム、第三者との接続も含めてセキュリティを見直す必要がある。
また今回のインシデントは、迅速な検知と脅威インテリジェンスの組織横断的な共有の必要性を浮き彫りにしている。特に攻撃者がシステムの弱点を繰り返し探れる状況では、その重要性は高い。
影響を受けた顧客が取るべき対応
大信証券の顧客は情報漏えいの通知に注意し、どの情報が流出したのかを確認すべきだ。Bithumbのユーザーと未来アセットの顧客は、それぞれのインシデントの範囲が明らかになるまで、各社の公式発表を確認しておく必要がある。
流出した氏名、電話番号、メールアドレスは、犯罪者が巧妙なフィッシングメッセージを作成したり、金融機関になりすましたり、口座認証情報を要求したりするのに悪用される可能性がある。口座番号が暗号化されていても、流出した個人情報によって標的型詐欺の信ぴょう性が高まるおそれがある。
金融機関からの連絡を装ったメッセージに記載された予期しないリンクはクリックしないこと。代わりに公式アプリや公式サイトで通知の真偽を確認し、パスワードやワンタイム認証コードは決して教えず、不審な口座活動は速やかに報告すべきだ。
韓国の金融セクターにとって当面の最優先課題は、今回のインシデントの全容を把握することだ。長期的には、より多くの個人情報が流出する前に、顧客向けシステムと社内システム全体のセキュリティを強化することが課題となる。
その他のニュース：米連邦選挙委員会（FEC）が、報告されたハッキング未遂を受けて電子申請システムをオフラインにしたことで、11月3日の中間選挙を数日後に控えた選挙運動資金の開示が滞った。