Bithumbに内部システム侵入、情報漏えい規模を調査中 10月27日に検知

DaouOfficeハッキングで従業員情報を確認

韓国内で2番目の規模を持つ仮想通貨取引所Bithumbが、内部のモバイル業務システムへのハッキングでどれほどのデータが流出したのか、その特定を急いでいる。侵入を検知したのは10月27日で、同日に規制当局へ報告済みだ。業界関係者の話として韓国メディアが伝えたところによれば、取引所は発見当日、韓国インターネット振興院(KISA)と個人情報保護委員会に通知を行った。侵害されたのは韓国のソフトウェア企業、Daou Technologyが開発するコラボレーションツール「DaouOffice」で、Bithumbの社員は顧客向けサービスではなく、社内メッセージやスケジュール管理にこれを使っている。これまでに確認された漏えいは従業員の個人情報だが、会社は会員情報も流出したかどうかの検証を続けている。侵害されたツール内で共有されたファイルが、顧客情報を含むまま社内チャットに流れた可能性があるためだ。取引所はまた、ツール上でやり取りされた会話や文書に顧客記録が含まれていたかどうかも確認中と述べた。「現時点で特定できている個人情報は従業員のデータだ」とBithumbの担当者は韓国メディアに語り、漏えいの正確な範囲と影響を受けた人数はなお精査中だと付け加えた。顧客資産については見通しが明確で、Bithumbは社内業務システムと、取引や顧客資産を扱うシステムが物理的に分離したネットワークで運用されていると説明する。このため、オーダーブックやカストディ基盤には今回の侵入から到達できないという。会社は顧客資産への異常なアクセスの形跡を確認していないとし、初動の検証が終わり次第、水曜日の午前中に公式発表を行う方針を明らかにした。韓国の報告ルールでは、事業者は侵害を確認した後、速やかにKISAと個人情報保護委員会へ届け出る義務があり、Bithumbの当日中の申請はこの基準を満たしている。内部統制の見直しを進める中で2028年のIPO日程を今年設定したBithumbは、ソウル時間の10月28日正午時点で、ウェブサイトのお知らせページに公表文を掲載していなかった。

韓国金融界で16社が被害

Bithumbの一件は、韓国金融セクター全体を襲う侵入の波の中で起きている。金融当局がこの波に数字を与えた。水曜日、ソウルの金融監督院本部での会合で、李燦鎮(イ・チャンジン)院長は業界集会で語り、10月14日時点で韓国の金融企業16社がサイバー攻撃を受けたと明らかにした。被害者リストは銀行、証券、保険、Web3プラットフォームに及び、攻撃の様式は特定企業の中核台帳ではなく、市販ソフトウェアとウェブ公開システムを狙うものだ。直近の被害者では、大信証券が顧客38,490人分の個人情報と信用情報が漏えいしたと発表し、金融監督院は同証券へ現地検査チームを投入した。未来アセットグローバル投資は一部ウェブシステムへの外部からの異常アクセスを遮断し、投資家情報には影響がないと説明した。傘下の未来アセット生命は10月26日、自社でも侵入が確認されたと報告している。仮想通貨業界も例外ではない。中堅取引所のGOPAXは10月16日、顧客7人と現役および元従業員2人の個人情報が漏えいしたと公表した。別の小規模取引所は10月2日に外部アクセスで約20人分の顧客データが流出したと報告し、アクセスから8日後に侵入を確認した。いずれの事案でも、KISAと個人情報保護委員会への当日届け出、その後の範囲調査という同じ報告手順が踏まれた。李院長は銀行持株会社8社の会頭らとの定例会合で情報セキュリティの強化を求め、AIがハッキングの道具に転用されると脆弱性の発見が容易になり、多点的な攻撃が常態化すると警告した。彼はこの変化を一時的な事件の連発ではなく構造的な転換と位置付け、単一の侵入点を想定した防御が、多方面からの同時探索に直面していると述べた。

Bithumbの侵害と16社という被害件数は、同じ根因を指し示す。攻撃者は防御の薄い市販コラボレーションソフトやウェブ公開システムを狙っており、中核の取引エンジンは狙っていない。Bithumbが主張する物理的なネットワーク分離が、水曜日に予定される公式の検証結果で裏付けられれば、顧客資産の損失が出ていない理由を説明できる。未解決の問題は、従業員ファイルの内部に乗って移動した会員情報だ。取引所は法的な報告義務をすでに果たしており、KISAと個人情報保護委員会は最終的な範囲がどこまで、どれほど速く開示されるかで判断することになる。利用者にとって当面のリスクは盗難というより、FUDと開示の不確実性だ。これまでに確認された被害は従業員データにとどまり、約束された公式発表が次の確認点になる。