3,000機関が利用する韓国の金融セキュリティポータルにハッカーが侵入

韓国の金融セクターの保護を担うサイバーセキュリティー機関が、サイバー攻撃の標的になった。

韓国金融セキュリティー院（FSI）が、外部セキュリティー評価プラットフォームへの侵入を受け、金融機関に関連する従業員情報が露出したと報じられている。影響を受けたポータルは約3,000の組織が利用し、セキュリティー評価書類のやり取りや評価結果の確認に使われている。

数百件の従業員記録が露出した可能性

YonhapとThe Chosun Dailyの報道によると、攻撃者は高度な回避技術と認証情報の偽装技術を駆使した。

• 身元のなりすまし：攻撃者は、金融監督院（FSS）の職員を装ったアカウントを作成した。FSSの役割に完全なポータルデータ閲覧権限を付与するシステム設定が悪用された。
• IPアドレスの切り替え：攻撃者は侵入中、悪意ある活動を正規のトラフィックに見せかけるため、IPアドレスを頻繁に切り替えた。
• 封じ込め：FSIは月曜日の午後3時ごろに不正アクセスを検知し、金融委員会（FSC）と韓国インターネット振興院（KISA）に通知する前に、影響を受けたポータルを切断した。

ここで引用した報道では、攻撃者がソフトウェアの脆弱性を悪用したのか、既存の認証情報を侵害したのか、アカウント認証の制御を回避したのかは明らかになっていない。

当局によると、影響を受けたポータルは組織の内部中核ネットワークから分離されており、報告された侵入の範囲は限定的だった。

「機微な個人情報は流出していないようだ」と金融当局者が述べたと、Korea JoongAng Dailyは報じている。「しかし、金融セクター全体のサイバー脅威を監視するFSI自体がハッキングされたことは、国民の信頼という点で重大な問題だ」

FSI院長が謝罪、侵入の詳細はほとんど明かさず

Yonhapの報道によると、FSIのPark Sang-won院長は11月12日、ソウルで開かれた金融情報セキュリティー会議（FISCON 2026）の開会式で公に謝罪した。Park氏は出席者の前で頭を下げ、韓国の金融セクター全体のセキュリティー基準の維持を担う組織でインシデントが起きたことを遺憾に思うと述べた。

同院は侵入を受け、会議のVIPイベントも中止した。Park氏は内部システムの全面的な見直しと、同様のインシデントを防ぐための対策強化を約束したが、約1分間の声明で攻撃の原因には触れなかった。報道陣の質問には答えず、会場を後にした。

侵入が浮き彫りにする集中型セキュリティープラットフォームのリスク

集中型のセキュリティー評価プラットフォームは、複数の組織の情報を1つのシステムに集約するため、魅力的な標的になり得る。

こうしたプラットフォームが中核銀行ネットワークから分離されていても、不正アクセスによって、従業員情報や管理記録、参加機関に関する詳細が露出する可能性がある。

金融規制当局になりすましたアカウントが使われたと報じられたことは、特権ユーザーの認証と、業務上の必要性に応じたアクセス制限の重要性も浮き彫りにしている。

同様のシステムを運用する組織にとって、このインシデントはアカウント登録手続きやロールベースの権限、多要素認証、通常とは異なるアクセスパターンの監視を見直すきっかけとなる。

銀行の担当者と消費者にとっての意味

規制当局は専有の銀行の脆弱性は流出していないと指摘したものの、影響を受けた組織は直ちに実務上の支障に直面している。

• 標的型フィッシングのリスク：認証済みのコンプライアンス担当者の氏名、メールアドレス、役職を入手した脅威アクターは、提携銀行に対する巧妙に標的を絞ったソーシャルエンジニアリング攻撃を仕掛けられる。
• ポータルの停止：FSIのポータルは緊急メンテナンスに入り、提出業務が停止するとともに、セキュリティー評価の確認も遅れている。
• 規制当局の監視：金融機関は、過去にアップロードした評価資料から業務システムの設計図が流出していないことを確認するため、外部データパイプラインを再監査しなければならない。

このインシデントは、より広範なサイバーセキュリティー上の課題を示している。セキュリティー監督を支援するために作られたシステム自体が、価値ある標的になり得るのだ。こうしたプラットフォームを保護するには、サービスを提供する金融機関に適用されるのと同じ厳格な監視が必要になる。

関連ニュース： OpenAI関連のインシデントを受けてAIセキュリティー規則を強化しているオーストラリアが、人工知能の利用時に組織が機密情報をどのように保護するかをめぐる懸念の高まりを浮き彫りにしている。