韓国、AIツールによるハッキング急増を受け銀行セキュリティ規制緩和を一時停止

韓国金融サービス委員会（FSC）は、銀行のセキュリティ規則を緩和するプログラム次のフェーズを一時停止した。同委員会は、次の対象銀行が選定されるわずか前日にこの措置を取った。

中止の理由は、7つの金融機関を襲い、数万件の顧客情報を漏洩させた一連のAI支援型ハッキング事件である。

AIは韓国の銀行をより安全にしているのか？

韓国金融サービス委員会（FSC）は、一連の AI支援ハッキングを受けて、銀行規制緩和プログラムの次のフェーズを一時停止した。当初、銀行セキュリティ規則を緩和する考えは、AIが防御力を強化するという前提に基づいていたが、これらの最近の攻撃は最もセキュアと評価されていた企業でさえも襲った。

緩和されるはずだった政策は、金融企業が内部業務システムをインターネットから物理的に隔離することを義務付ける韓国のネットワーク分離ルールです。

このルールは2000年代後半のサイバー攻撃をきっかけに導入され、公共機関は2007年、銀行は2014年から適用されました。長年にわたり、このルールは機能してきました。例えば、2017年のWannaCry感染拡大時には、マルウェアが隔離されたネットワークに到達できなかったため、韓国の金融セクターは大きな被害を受けずに済みました。

しかし、生成AIの登場により、 規制当局は が このルールが銀行が 脅威を検出するために必要とするAIツールの運用を妨げているとして、金融監督委員会（FSC）は免除措置を設け始めました。

権大英副委員長は5月、高度なAIのセキュリティリスクに関する円卓会議を開催し、第1段階の緩和では、資産総額10兆ウォン以上、従業員数1,000人以上の企業49社が対象となり、それぞれAI駆動型の防御策を試すための1年間の免除が付与されました。

第2段階では、対象企業の数を75社に拡大し、資産要件を2兆ウォンに引き下げ、従業員数の下限を300人に引き下げる予定でした。選定される企業数も10社から最大15社に増やす計画で、選定日は10月7日に設定されていました。

FSCは現在、違反内容を含んでいるため金融監督院とのさらなる審査が必要だと述べています。規制当局は原則として規制緩和を支持し続けていると強調しています。

どのハッキングがAI支援で行われたのか？

違反は9月30日に新韓銀行で始まり、外部の不正アクセス者がローンエージェントサービスの身元確認を回避し、約2万5千人の顧客の個人データを盗み出しました。

違反が発覚した後、FSCは攻撃者のIPアドレスを共有し、他の企業が自社のログを確認した結果、システムも侵害されていることが判明しました。

報告によると、新韓銀行では2万5,727件のレコードが侵害されました。KB国民銀行では119件、ハナ銀行では89件、BNK釜山銀行では11人の委託開発者が影響を受けました。

被害はヤガラム貯蓄銀行などの二次的な貸付機関にも及び、ヤガラム貯蓄銀行は約4万人の顧客に影響を与える違反を開示しました。これはこれまでに報告された単一の数字としては最大です。ウェルカム貯蓄銀行では最大2,200件の企業レコードが流出し、現代キャピタルは146人の住宅ローンエージェントのデータが暴露されました。

新韓銀行は違反に気づくまで15時間以上かかったと報告されており、ハナ銀行はほぼ42時間、KB国民銀行はほぼ68時間かかりました。

韓国金融セキュリティ研究所は次のように述べています これらのハッキングの共通点は、ARTEX AIです、GitHubで公開されているオープンソースの大規模言語モデル駆動型の脆弱性テストシステム。主に中国語圏のコミュニティで配布されています。

アナリストは、Shinhan 攻撃に関連するサーバ上で「ARTEX - Autonomous Penetration Testing Console」という文字列を初めて見つけたと報じられています。このツールは、Baidu のセキュリティ対応センターが今年実施した攻撃的セキュリティコンテストでも優勝しました。

研究所の担当者は、このツールが単独で動作するものではなく、ハッカーが内部の従業員やパートナーシステムのデータを抽出するツールとして使用しただけだと説明した。同担当者によると、このデータは「厳密に管理されていません「一般に提供されるサービスよりも」

研究所はまた、各銀行では二つまたは三つのIPアドレスが重複していたと述べ、一つをブロックするだけで侵入者が別のものに移動し、活動は継続していた。

FSCのリー・エオク・ウエオン会長は4日、緊急会議で業界関係者に対し、「最高の警戒態勢」を維持するよう呼びかけた。

金融庁、金融監督庁、および当該研究所は、約500社に対して緊急自主点検を命じており、銀行とカード会社は8月31日まで、貯蓄銀行、保険会社、電子決済事業者は10月8日までに報告することになっている。

同研究所は、攻撃者がアカウントの制御を奪っていないため、直接的な金銭窃盗は起こりにくいと考えているが、 音声フィッシング詐欺は ローンやクレジットの詳細など正確な機密情報を利用できるようになった今、検出がこれまでよりもはるかに困難になるだろう。

最も賢明な暗号通貨の専門家たちはすでに私たちのニュースレターを読んでいます。あなたも参加しませんか？ 彼らに加わりましょう。