韓国の最高金融規制当局である金融委員会(FSC)は、銀行セキュリティ規制緩和プログラムの次の段階を停止した。これは、参加銀行の第2陣が選定される予定だった前日での撤回となった。この決定は、7つの金融機関を侵害し数万件の顧客記録を流出させた一連のAI支援型サイバー攻撃を受けたものである。

AIによる防御強化という前提の上に築かれた規制緩和

このプログラムの前提は、セキュリティ規制を緩和することで銀行がAIを活用し防御を強化できるようにするというものだった。しかし、今回の攻撃は、最もセキュリティが高いと評価されていた企業にも及び、規制当局は再検討の間、展開を停止することを決めた。

この政策の中心にあるのは、金融会社に内部業務システムを物理的にインターネットから隔離することを義務付ける韓国のネットワーク分離規則である。この規則は2000年代後半の一連のサイバー攻撃を受け、2007年から公共機関に、2014年から銀行に適用された。長年にわたりこの規則は機能していた。例えば2017年のWannaCr​y感染の際、韓国の金融部門は、マルウェアが隔離されたネットワークに到達できなかったため、ほぼ無傷で切り抜けた。

しかし生成AIの登場により状況は変わった。規制当局は、分離規則が銀行にとって脅威検知に必要なAIツールの運用を妨げていると主張し、FSCは例外規定の整備を開始した。権泰永(クォン・デヨン)副委員長は5月に先端AIセキュリティリスクに関する円卓会議を招集し、第1階の緩和では、総資産10兆ウォン以上かつ従業員1,000人以上の49社が対象となり、各社にAI駆動型防御のテストのため1年間の例外が付与された。

第2段階では、対象を75社に拡大し、資産要件を2兆ウォンに、従業員数の下限を300人に引き下げる予定だった。また、選定企業数も10社から最大15社に増やされる予定で、選定は10月7日に予定されていた。まさに停止がその日を迎える直前に実施された形である。

FSCは現在、侵害を封じ込める間、監督機関である金融監督院とさらなる検討が必要だとしている。当局は原則として規制緩和を支持する立場は変わらないとし、今回の停止は政策転換ではなく一時停止であると位置付けている。

侵害の実態：7社、数万件の記録

一連の被害は9月30日に新韓銀行で始まった。外部の第三者がローンエージェントサービスの本人確認をすり抜け、約2万5,000人の顧客の個人データを抽出した。合計25,727件の記録が侵害された。FSCが攻撃者のIPアドレスを共有した後、他の企業もログを確認し、自社のシステムも侵害されていたことを発見した。

KB国民銀行では119件、韓国銀行(ハナ銀行)では89件、BNK釜山銀行では外部委託開発者11名の情報が侵害された。その後、被害は二次金融機関にも拡大した。예가람儲蓄銀行は約4万人の顧客に及ぶ侵害を公表しており、これが現時点で最大の単一被害件数である。ウェルカム儲蓄銀行は最大2,200件の法人記録を失い、ヒュンダイキャピタルはモーゲージローンエージェント146名のデータを流出させた。公表された数値を合計すると、7社で約6万8,000件の記録が侵害されたことになる。

検知はいずれの企業でも遅かった。新韓銀行は侵害の発見に15時間以上、ハナ銀行は約42時間、KB国民銀行は68時間近くかかったと報じられている。

ARTEX AI:オープンソースのペネトレーションテストツール

金融監督院傘下の金融安全保障研究所は、今回のハッキングに共通する要素として、GitHub上で主に中国語圏で流通しているオープンソースの大規模言語モデルベースのペネトレーションテストシステム「ARTEX AI」を特定した。大規模言語モデルがペネトレーションテストの工程を自律的に実行するこのカテゴリーのツールであり、その名前に含まれる「Autonomous Penetration Testing Console(自律型ペネトレーションテストコンソール)」がそれを示している。アナストは、新韓銀行攻撃に関連するサーバー上で「ARTEX — Autonomous Penetration Testing Console」という文字列を最初に確認したと報じられている。このツールは今年、百度のセキュリティ対応センターが主催する攻撃的セキュリティコンテストで優勝してもいる。

研究所の関係者は、このツールが単独で動作したのではなく、ハッカーが従業員およびパートナー向け内部システムのデータを抽出するために使用したものであり、そうしたシステムは一般向けサービスほど厳格には「管理されていなかった」と説明した。研究所はさらに、各銀行で2〜3個のIPアドレスが重複しており、1つを遮断しても侵入者が別のIPに移るだけだったと明かした。活動は現在も続いているという。

緊急対応

李秤元(イ・ウクウォン)FSC委員長は、10月4日の緊急会議で業界関係者に対し「最高レベルの警戒」を維持するよう求めた。FSC、金融監督院、金融安全保障研究所は約500社に緊急自己点検を命じており、銀行およびカード会社が最初に報告し、儲蓄銀行、保険会社、電子金融業者は10月8日までに報告する予定である。停止された選定日のわずか1日後に最初の報告期限が設定された、業界全体の自己点検となっている。

研究所は、攻撃者が顧客アカウントを掌握していないため、直接的な金銭窃取の可能性は低いとみている。ただし、攻撃者がローンや信用情報などの正確な機密情報を手に入れたことで、音声フィッシング詐欺の検出がこれまで以上に困難になると警告している。