韓国・情報保護評価「100点」の銀行で顧客情報流出…問われる実際の防御力

【10月13日 KOREA WAVE】韓国で最近ハッキング被害に遭った金融機関が、金融当局の情報保護評価で最高等級を取得していたことが分かり、評価制度の実効性が問われている。

法令に沿った保護措置や管理体制の確認に加え、実際の攻撃をどこまで防げるかを検証すべきだとの指摘が出ている。人工知能（AI）が脆弱性の探索から攻撃まで自動化する時代には、点数よりも実戦での防御力が重要になる。

顧客情報が流出した新韓銀行は、2026年の半期報告書で、金融委員会の「個人信用情報の管理・保護実態点検」で6年連続、最高のS等級（100点）を取得したと公表していた。

情報保護認証のISMS、ISMS-P、ISO27001を取得し、ハッキング対応の専門組織や金融保安院と連携した訓練も運営している。しかし、融資募集担当者向け照会サービスの脆弱性を突く攻撃は防げなかった。

KB国民銀行とハナ銀行でも、職員向けモバイル業務支援システムや営業支援システムの脆弱性が攻撃された。保護体制を整えていても、顧客情報を扱う個別システムの隙を塞げなかった。

今回の流出は、評価・認証と実際の安全性との隔たりを示した。認証取得だけでなく、侵入に利用される脆弱性が残っていないか、検証する必要性が浮き彫りになった。

情報保護の常時評価は、金融機関による個人信用情報保護の実態を点検する制度だ。各社の自己点検結果を金融保安院が確認し、金融委員会へ提出する。当局は検査などに活用する。

情報の利用・保有・削除、権利保障、保護措置が主な対象だが、法的要件の順守を確認する評価だけで、すべての攻撃を防げるわけではない。

金融保安院は評価方法の改善に着手した。4月に発表した2026年の計画では、約3000社を対象に、事故に関係する8項目の判断基準を厳格化する。

アクセス権限・接続記録、個人情報の暗号化、異常行動の監視、脆弱性点検、侵入検知・遮断、ウイルス対策などについて、実際の実施状況と事後対応を重点的に確認する。

一部企業で現地点検を試行し、事故発生時の減点基準も適用する。2027年には模擬ハッキングの評価項目を新設し、結果に大きく反映させる。現地点検も試行結果を分析して本格導入する方針だ。

実効性を左右するのは、攻撃にさらされるシステムをどこまで検証できるかだ。業務支援システムも十分に対象に含め、見つかった脆弱性が修正されたかを確認する必要がある。

金融監督院は最近の緊急点検会議で、AIエージェントによる大量の自動化攻撃の可能性を指摘した。

高麗大学情報保護大学院のイム・ジョンイン教授は、AIは「規模も手法も、これまで人がしてきたことを超える」と説明した。人が発見できなかった脆弱性を素早く見つけ、それを利用する悪意あるプログラムも、ほぼリアルタイムで作れるという。

攻撃者がIPアドレスを変え続けて侵入を試みれば、人が個別に対応するには限界がある。攻撃の速度と規模が変わった以上、評価方法も変えるべきだと指摘した。

イム教授は「従来の評価は人による攻撃に焦点を当てていたが、今はAIエージェントが攻撃する。新たな評価手法が必要だ」と強調し、「AIはAIで防ぐしかない」と述べた。

(c)news1/KOREA WAVE/AFPBB News