韓国・金融保安院に不正アクセス、48社の約130ファイル流出…警察が捜査

【11月12日 KOREA WAVE】韓国の金融業界のサイバーセキュリティーを担う金融保安院がハッキング被害を受け、警察が捜査に乗り出した。金融監督院をかたる偽のアカウントが使われたとみられ、これまでに金融機関48社の約130ファイルの流出が確認された。金融当局などによると、警察は事件が報じられた11月10日、金融保安院に捜査に着手することを通知した。警察庁のサイバーテロ捜査隊が侵入経路や攻撃者の身元を調べる。

被害に遭ったのは、金融機関が自社のセキュリティー管理状況を評価・点検する際に資料を提出する「情報保護常時評価支援システム」だ。金融機関が閲覧できるのは自社の資料に限られるが、金融監督院にはより広い閲覧権限がある。攻撃者はこの権限を悪用し、約200のIPアドレスを切り替えながら資料を閲覧・ダウンロードしたとみられる。

金融保安院によると、新規アカウントの有効化には同院の承認が必要で、ログイン時にはIDとパスワードに加え、SMSによる2段階認証を求めている。同院は、金融監督院が実際に使っているIDやパスワードの流出は確認されていないと説明した。偽のアカウントがどのように作成され、閲覧権限を得たかは調査中で、承認や認証の手続きを回避できる脆弱性があった可能性があるという。

金融保安院は9日午後3時ごろに情報流出を確認し、システムへの接続を遮断した。流出したファイルには、個人信用情報の取り扱いに関する同意書の見本などの事務書類約200件、書類に記載された氏名や生年月日などの個人情報約300件、システム利用者の情報約350件が含まれていた。利用者の氏名と携帯電話番号にはマスキング処理が施されていた。金融機関の顧客情報も一部含まれていたという。

金融委員会は10日に金融保安院から自主点検の状況などについて報告を受け、11日に立ち入り点検に入った。電子金融取引法に基づく金融保安院の監督・検査権限は金融委員会にあり、金融監督院は要請に応じて検査を支援する。金融委員会は侵入の経緯や流出規模、金融保安院の対応を確認する見通しだ。金融監督院も、金融保安院が運用する全システムのセキュリティーを改めて点検するよう求めた。

金融保安院は事件を受け、12日に予定している「金融情報保護コンファレンス（FISCON）2026」の規模を縮小する。開催日は予定通りとし、来賓関連の日程を取りやめ、実務担当者を中心に運営する。

(c)news1/KOREA WAVE/AFPBB News