韓国の金融機関16社にハッキング被害、ゴーパックス運営会社とプラバンも

韓国の金融委員会は10月14日、ハッキング被害が確認された金融機関16社を公表し、暗号資産事業者2社が含まれていることを明らかにした。ウォン建て市場の取引所Gopax（ゴーパックス）を運営するStreami（ストリーミ）と、コインマーケット取引所のプラバンだ。金融委員会は同日午後3時（韓国時間）、政府ソウル庁舎でシン・ジンチャン事務処長が主宰する「第2回緊急状況対応会議」を開き、9月末から続く金融業界の侵害事故の調査経過を示した。

金融委員会によると、新韓銀行の事故の前後に侵害が確認されたのは、銀行・貯蓄銀行・相互金融・与信専門金融・電子金融・オンライン投資連携金融（P2P金融）・暗号資産事業者など全業態にわたる16社だ。各社が共有された攻撃元IPをもとに侵害の有無を確認し続けており、この数はさらに増える可能性があるとしている。

銀行4行から取引所2社まで、16社の内訳

報道参考資料に記載された業態別の名簿は次のとおりだ。

• 銀行：新韓・国民・釜山・ハナ
• 貯蓄銀行：イェガラム・ウェルカム・DB・OK／相互金融：セマウル金庫中央会
• 与信専門金融：現代キャピタル・産銀キャピタル／P2P金融：PFCT・モウダ／電子金融：ブライトフィックス
• 暗号資産事業者：ストリーミ・プラバン

ストリーミはゴーパックスの運営会社で、バイナンス側の法人が昨年末時点で株式67.45%を保有していると韓国メディアのディールサイトが報じている。プラバンは2021年12月に暗号資産事業者の審査を通過したコインマーケット取引所で、ウォンの入出金はなく、暗号資産同士の売買のみを扱う。金融委員会は両社から何がどれだけ流出したかは明らかにしていない。

9月30日の新韓銀行から始まった2週間

1. 9月30日新韓銀行で情報流出事故、続いて国民銀行など大手金融機関もサイバー攻撃の被害
2. 10月2日金融委事務処長主宰の第1回緊急状況対応会議、全金融業界に攻撃元IPを共有し、セキュリティのチェックリストを配布
3. 10月4日イ・オグォン金融委員長主宰の「全金融業界緊急点検会議」、外部アクセスの原則遮断などを指示
4. 10月8日555社・12項目のチェックリスト点検が締め切り
5. 10月14日午後3時第2回会議、侵害確認16社と点検結果を公表

チェックリスト点検では425社が「適正」と回答し、130社が不備を報告した。不備があった企業の大半は、セキュリティパッチや監視体制に関する1〜2項目にとどまった。電子金融業とP2P金融では比較的多くの不備が見つかった。主な不備として、最新のセキュリティパッチ未適用、メーカーのサポート終了後もそのまま使われているシステム、24時間のリアルタイム監視体制の未構築、外部システムの認証漏れや多要素認証（MFA）の未導入が挙げられた。

住民登録番号含む約10万件、口座・カード番号は確認されず

金融委員会によると、これまでに確認された流出は約10万件で、項目は氏名・連絡先・住民登録番号・メールアドレスなどだ。不正決済に直接使われうる口座番号やカード番号の流出は確認されていないとしている。10万件の社別内訳は公表していない。

当局は被害企業に対し、攻撃元IPの遮断、セキュリティパッチの適用、関連サービスの停止など追加被害の防止措置を取り、流出の事実と対応方法を顧客に知らせるよう監督しているという。金融監督院と金融保安院が現地調査で侵入経路と攻撃手法を調べており、事故同士の関連性、同一の攻撃者かどうか、AIを使ったハッキングかどうかも確認している。

「これまでロッテカードの情報流出、ミトス・ショックなどさまざまな契機に何度も全数点検と管理強化を求めてきたにもかかわらず、金融機関で基本的な部分が守られていない事例が見つかったのは極めて手痛い」

シン・ジンチャン 金融委員会事務処長

ゴーパックスのお知らせにはまだ関連案内なし

韓国時間14日午後3時30分時点で、ゴーパックスのお知らせページには今回の侵害に関する案内は掲載されていない。

韓国紙ソウル経済は6日、韓国の5大取引所のうちゴーパックスだけが個人情報保護の領域まで含む「ISMS-P」認証を持たず、基本の「ISMS」認証のみを保有していると報じた。当時、ゴーパックス関係者は「費用面で投資が難しく、まず基本的なISMSから取得した」と説明した。ISMSは暗号資産事業者の届出に必須だが、ISMS-Pは義務ではない。

金融委員会は今後、金融機関のシステムが外部とつながるすべての接点を一覧化して全数点検し、大手の脆弱性点検を年2回以上に増やし、各社が自ら把握した脅威情報も統合監視システム（FIRST）で共有させる方針を示した。具体的な点検範囲と日程は金融業界と協議して決める。