韓国の金融セクターが抱えるセキュリティ問題は銀行だけにとどまらない。規制当局は現在、16の金融機関で侵害が発生し、約10万件の個人情報が流出したことを確認している。
金融委員会（FSC）は、金融規制当局や政府機関との2回目の緊急対応会議を受け、10月14日に被害範囲の拡大を明らかにした。
当局はシステムに侵害の痕跡がないか調査しており、さらに多くの金融機関が影響を受けている可能性があると警告している。調査はなお続いている。
被害を受けた機関には、銀行4行、貯蓄銀行4行、専門金融会社2社、オンライン投資連動型金融プラットフォーム2社、電子金融サービス事業者1社、暗号資産事業者2社、協同組合金融機関1機関が含まれると韓国メディアは報じている。
新たに被害が確認されたのは、DB Savings Bank、KDB Capital、Brightfix、Streami、Prabangの5社。Streamiは暗号資産取引所Gopaxを運営しており、Prabangも暗号資産の取引サービスを提供している。
FSCは、氏名、電話番号、住民登録番号、メールアドレスなど、約10万件の記録が流出したと推計している。当局は、侵害された情報に銀行口座番号や決済カード番号が含まれていたことは確認していない。
AIの関与は調査中
攻撃者がどのように侵入したのか、また人工知能が関与したのかを、韓国当局は調べている。FSCはセキュリティ検査の実施、脅威の早期検知、インシデント対応の連携強化も計画している。
今回の侵害は、個々の企業を超えた弱点を浮き彫りにした。金融機関555社を対象としたセキュリティレビューでは、古いソフトウェア、サポート対象外のシステム、24時間体制の監視不足など、130件の不備が報告されたというSeoul Economic Dailyの報道によると。
規制当局は、脆弱性の確認を強化し、情報共有を改善するとともに、経営幹部やテクノロジー部門の責任者が担うセキュリティ上の責務を明確化する方針だ。また、小規模な金融機関が脆弱なシステムを特定し、脅威に対応できるよう、AI支援型の監視の導入も検討している。
セキュリティ上の不備が重要な理由
今回の調査結果は、外部ネットワークに接続されたシステムやサービスの数に、金融セクターの防御体制が追いついていない可能性を示している。攻撃者が決済認証情報にアクセスできなかったとしても、盗まれた身元情報は、標的型フィッシングやなりすまし、顧客アカウントの乗っ取りに利用される可能性がある。
被害を受けた機関が、従来型の銀行、融資、決済、暗号資産サービスにまたがっていることも、インシデント対応を複雑にしている。顧客はこれらのサービスを複数利用している可能性があるため、流出した一組の個人情報だけで、犯罪者が複数のプラットフォームをまたいで説得力のある接触を試みることが可能になる。
16の機関すべてを同じ攻撃者が標的にしたのか、それとも各インシデントに共通する脆弱性があるのかは、まだ明らかになっていない。
顧客が今すべきこと
韓国の金融機関の顧客は、本名やその他の個人情報を使った身に覚えのないメッセージ、電話、メールに注意すべきだ。見慣れないリンクをクリックしたり、認証コードを共有したり、身に覚えのない依頼に応じてパスワードを伝えたりしてはならない。
利用できる場合は、多要素認証を有効にし、固有のパスワードを使い、見慣れない取引やログイン試行がないかアカウントの利用状況を確認すべきだ。情報が流出した疑いがある人は、金融機関の公式ウェブサイトまたはアプリを通じて問い合わせてほしい。
当局は決済カード番号や銀行口座番号が侵害されたとは確認していないものの、流出した身元情報は依然として詐欺のリスクをもたらす可能性がある。
調査は継続中で、金融機関がシステムに侵害の痕跡がないか確認を続ける中、さらに被害を受けた機関が特定される可能性があると規制当局は警告している。
その他のニュース：ドローン攻撃でYandexのデータセンターが機能停止したと報じられているため、サービス停止が発生し、重要なデジタルインフラが直面する物理的なセキュリティリスクが浮き彫りになった。