一連の銀行ハッキング事件の調査を主導してきた韓国の金融保安院(FSI)が、自らもハッキング被害を受けた。攻撃者により、金融業界に従事する人々の約300件の個人情報が不正取得された。

ハッカーはどのように金融保安機関に侵入したのか

今回の侵入は、同院のログインシステムの脆弱な箇所を突いたものだ。攻撃者は金融監督院(FSS)の職員を装い、SMS認証が利用できない場合向けに設けられたバックアップ用アクセスページ——通常の認証チェックを省略するページ——からシステムにアクセスした。

自身のファイルしか開けない一般的な企業アカウントとは異なり、攻撃者が使用した偽のFSSアカウントは、多くの機関の資料を一度に閲覧できた。報道によると、攻撃者は活動を通常のトラフィックに見せかけるためIPアドレスを頻繁に変更し、最終的に100以上の異なるアドレスを使用した。

FSIは11月9日(月)にこの侵害を発見し、被害を受けたシステムを停止した後、金融委員会と韓国インターネット振興院(KISA)に事故を報告した。

流出したデータの内容

ハッキングされたプラットフォームは、金融会社が保安審査用の書類をアップロードするFSIの継続評価支援システムで、毎年約3,000社がこの審査を受けている。

流出したのは、約200件の行政様式、氏名と生年月日を含む300件超の個人情報、氏名と電話番号が一部マスキングされた約350件の利用者記録である。個人情報の大部分は、金融会社で保安審査を担当する従業員のものであり、これまでに40社以上の企業がこの事件に関連している。

これまでのところ、顧客の与信情報や取引記録が流出したとの報告はない。FSIはネットワーク構成図や脆弱性テスト結果は影響を受けていないと説明し、流出した情報により追加の被害が生じた場合には補償を行うと約束している。

警察には11月10日(火)に攻撃者のIPデータが提供された。翌日、金融規制当局はFSIのセキュリティに対する現場検査を開始した。捜査当局は、偽のFSSアカウントがどのように正規の規制当局レベルのアクセス権を得たのかを解明しようとしている。

FSIへのハッキングが銀行と暗号資産取引所に意味するもの

韓国金融業界のサイバー防衛を主導してきたFSIにとって、今回のタイミングは痛烈である:年間約3,000の金融会社の保安申告を処理する審査プラットフォームを持つ機関が、自らのセキュリティについて規制当局の現場検査を受けることになった。同院は2025年以降、ホワイトハッカーが率いるデジタル資産セキュリティ専門チームを運営し、暗号資産取引所のセキュリティ水準の引き上げに取り組んできた。

韓国の取引所は今年、繰り返しハッキング被害を受けている。10月27日には、Bithumbが不正な第三者に内部のモバイルグループウェアシステムへアクセスされ、従業員情報が流出したと報告した。大信証券(KRX: 003540)は、38,490名の顧客データが侵害されたと発表した。

規制当局は、単一日で440万件超のスキャン試行を確認しており、その大部分は北朝鮮のIPレンジからだった。ただし、FSIの関係者は、IPデータは偽装や経路変更が可能であり、それだけでは攻撃の背後者を証明できないため、結論を急ぐべきではないと警告している。

10月、金融委員会は、銀行、貯蓄銀行、暗号資産企業を含む16社がAIを利用したと疑われる攻撃を受けたと発表した。同月末までにその数は20社に増加し、約10万件の記録が流出した。555社を検査した検査官は、130社でセキュリティ問題を発見した。

11月6日、Binance傘下のGopaxはすべての取引と送金を停止し、顧客のトークンをオフラインのコールドストレージに移動した。同取引所は資産流出や侵害を受けていなかったが、相次ぐハッキング事件を受け、規制当局がホットウォレットからコールドウォレットへの移行を推奨したと、Cryptopolitanが報じた。

出典:Cryptopolitan