大信証券ハッキングで3万8,490名の顧客情報が流出

監督当局、Bithumbと大信証券に現地調査チーム

韓国の金融監督当局は水曜日、暗号資産取引所Bithumbを含む3つの金融機関でのハッキング被害が確認されたことを受け、証券部門と仮想通貨部門に現地調査チームを投入した。金融監督院(FSS)によれば、10月28日にBithumbと証券会社の大信証券、 mirae asset・未来(ミレ)アセット運用での情報漏洩が判明し、同日に大信証券とBithumbへ調査チームを派遣した。調査で法令違反が確認された場合、事件は正式な検察送致に切り替えられる。

最も被害が大きいのは大信証券だ。同社は水曜日朝のプレスリリースで、3万8,490名の顧客の個人情報および信用情報が漏洩したと発表した。10月17日、非対面投資口座開設用サーバーに対する外部者の不正アクセスを検知し、直ちに当局へ届け出たうえで社内調査を進めた結果、顧客情報の漏洩を確認したという。

取引高では韓国有数の仮想資産取引所であるBithumbは、火曜日の10月27日に社内のモバイルグループウェアシステムへの不正アクセスを把握したと当局に説明した。現時点で漏洩が確認されているのは従業員情報のみで、会員データが含まれるかどうかは分析が続いている。当局への届け出のなかでBithumbは、ウォレットアドレスなど不正送金や仮想通貨の送信に悪用されうる情報は露出していないと述べた。未来アセット運用は一部ウェブシステムに外部IPアドレスからの異常アクセスを検知し、経路を遮断して緊急対応を開始した。固有識別子、機密データ、個人の信用情報の漏洩はなく、投資家データへの影響も確認されていない。

金融委員会は水曜日午後、デジタル金融政策官のユ・ヨンジュン氏の主催で仮想資産業界の緊急点検会議を招集し、金融監督院、金融保安研究院、取引所合同協議体DAXA、Bithumbが出席した。金融監督院のイ・チャンジン院長は銀行持株会社の取締役会長らに対し、人工知能がハッキングの道具として採用されるにつれ弱点はより速く発見され、組織的な攻撃が常態化すると警告した。委員会は来週、規制当局、各省庁、業界団体、韓国の商業銀行大手5行のトップを集めたAIハッキング対応会議を開く予定で、現在電子金融取引法の対象外となっている分野へセキュリティ要件を拡大する方針を示した。

警察、初期の銀行ハッキングとの関連を捜査

国家警察庁は水曜日朝、韓国の銀行を襲ったAI活用型攻撃の連鎖を捜査してきた同一の部署に新たな事件を割り当て、手法を横断的に比較して同一の出所かどうかを確認する作業を進めている。先行した一連の攻撃では、10月14日時点で16の金融企業から約10万件の記録が流出していた。韓国政府の政策資料アーカイブがこの集計を示している。警察当局者はソウル経済新聞に対し「銀行ハッキング事件の背後にいた同一人物による攻撃の可能性は排除していない」と述べた。

その先行した攻撃は、ARTEXと結び付けられている。ARTEXは中国製のオープンソースのエージェント型ペネトレーションテストツールで、Anthropicが開発したClaude Codeのような大規模言語モデルと並行して動作する。セキュリティ企業のCrowdStrikeは、露出したサーバーディレクトリから攻撃者のClaude Codeセッションログ、ARTEX設定ファイル、メモリファイルを回収したと報告し、金銭目的の中国語話者オペレーターが関与したと中程度の確度で評価した。オペレーター自身のセキュリティ上の失態も露呈した。同じツールで履歴書の下書きを行っており、漏洩した連絡先情報は広東省茂名市の26歳の人物を指しうるとCrowdStrikeはみるが、同社自身が識別情報の信頼性は完全ではないと認めている。韓国の専門家はなお懐疑的で、高麗大学の情報セキュリティ教授はARTEXが使用された唯一のツールだったのかどうか疑問を呈している。

銀行側の被害者数は増え続けている。KB国民銀行は今週初め、詳細な再調査により確認済みの被害者を119人から2,210人に引き上げたと発表した。また資産運用会社とは別法人の未来アセット生命は自社への侵入を検知し、金融監督院の緊急現地調査の対象となった。金融委員会が555の金融企業を点検したところ、セキュリティパッチの未適用やリアルタイム監視の欠如を含む不備が130社で見つかった。Bithumbは、漏洩データが後続のフィッシングや遠隔操作型詐欺に再利用されているとして顧客に注意を促すキャンペーンを実施している。

COINOTAGの見立ては次のとおりだ。銀行から証券会社と取引所へと数日のうちに被害が移動している事実は、3つの孤立した事故ではなく単一の作戦がまだ拡大中であることを示す。電子金融取引法の対象外の分野に大手銀行並みのセキュリティ基準を課す金融委員会の計画は、Bithumbのような取引所に直接及ぶ。本当の試金石は来週の会議だ。指摘された130社の不備を是正へと強制できるか、警察がARTEXとの関連を確認できるか。この成否が、仮想通貨取引所セキュリティの構造的な強化につながるか、またも場当たり的な対応で終わるかを決める。