AIエージェントで韓国の金融機関が相次ぎ侵害、破られたのはバンキングアプリではなく融資仲介業者と職員向けのシステムでした

2026年10月7日、米セキュリティ企業のCrowdStrikeが、韓国の金融機関を狙った攻撃の分析記事を公開しました。9月末から10月初めにかけて、韓国の複数の金融機関から顧客情報が流出した事件です。CrowdStrikeは、攻撃者がAIエージェントを使い、短期間で複数の組織に侵入したとみています。ただし、CrowdStrikeが被害システムとして描いた2つは、顧客が使うバンキングアプリではありませんでした。1つは融資仲介業者が使う進捗照会サービス、もう1つは職員向けのモバイル業務支援システムです。 crowdstrike

攻撃者は誰でも開けるサーバーのフォルダーにAIの作業記録を残し、CrowdStrikeがそれを入手しました

CrowdStrikeが分析した資料は、攻撃者が管理するサーバーの公開ディレクトリ、つまり誰でも中を見られる設定のフォルダーにありました。そこにはClaude Codeの作業セッションの記録、ARTEXというAIエージェントの設定ファイル、Claudeが作業内容を覚えておくためのメモリーファイルがそのまま残っていました。CrowdStrikeは韓国の事件報道を手がかりにこの痕跡を見つけ、記録に出てくる標的が業界で知られている被害機関と重なるかを照合しました。 被害機関の内部ログを直接確認したかどうかは、公開された説明には書かれていません。 crowdstrike

記録には侵入後の行動も残っていました。攻撃者はClaudeに、韓国から流出したデータは普通どこで売られているのかを尋ねていました。別のセッションでは、今回の活動の成果を盛り込んだ「セキュリティ研究者の履歴書」を書くよう頼み、名前や連絡先などの個人情報を入力していました。CrowdStrikeは、この情報は攻撃者本人のものである可能性が高いものの、断定はできないとしています。 侵入からデータの売り先探しまでが同じAIの作業環境で続き、その記録がそのまま攻撃者をたどる手がかりになりました。 crowdstrike

CrowdStrikeは結論にこう書いています。 crowdstrike

“AI tooling can enable a financially motivated threat actor to conduct multiple intrusions within a short time span.”（AIツールは、金銭目的の攻撃者が短期間に複数の侵入を行うことを可能にする。）

ただしCrowdStrikeは同じ記事で、被害機関の数は確認されていないとし、攻撃者が中国語話者で金銭目的だという判断も確信度は中程度だと明かしています。CrowdStrikeは脅威インテリジェンス製品を販売する企業で、この分析記事の末尾にもデモ申し込みの案内を載せています。 crowdstrike

攻撃者は公開から2カ月の無料ツールを他社の商用AIモデルで動かし、金融機関を手当たり次第に狙いました

ARTEXは7月26日にGitHubで公開されたオープンソースのエージェントです。システムにあえて侵入して弱点を探すペネトレーションテストを、AIで自動化するツールです。9月3日には、Baiduが開いた、AIセキュリティエージェント同士が攻撃と防御を競う大会で、約150チームの中から総合1位になりました。9月24日に最新版が出て、その3日後の9月27日に国民銀行を狙った攻撃が始まりました。 reuters +1

ARTEXは独自のAIモデルを持たないため、ChatGPT、Claude、DeepSeekといった外部の商用モデルにつながないと動きません。 CrowdStrikeが入手した設定によると、攻撃者がARTEXにつないだメインのモデルはDeepSeek v4.1-flashで、DeepSeekの公式サービスではなく、利用権を転売する仲介業者とみられる経路から接続していました。攻撃者はARTEXとは別に、AnthropicのAIコーディングツールであるClaude Codeも使っており、Claude Codeのセッションの一部ではZhipu AIのGLM-5.3とxAIのGrok 4.6を補助モデルにしていました。 攻撃に使われたAIは、どれも複数の企業がすでにサービスとして提供している商用モデルでした。 reuters +1

CrowdStrikeのAdam MeyersはReutersに対し、今回の件を「AIエージェントを活用する人間の攻撃者」による攻撃とみており、AIの力を借りれば「1人で非常に短期間に多くの標的を狙える」と語りました。 韓国当局も今回の件を、特定の企業を選んで狙った攻撃ではなく、AIで複数の金融機関に無差別に侵入を試み、守りの弱いところが破られたものとみています。金融保安院の院長は、銀行を狙った攻撃の発信元IPはほぼ同じで、貯蓄銀行側は少し違っていたと述べました。 すべての被害企業が同じ攻撃者に同じツールでやられたという公式な確認は、まだありません。 reuters +1

攻撃を主導したのは人間でした。金融保安院の関係者は、今回の攻撃でAIが人の関与なしに独自に動いたわけではないと述べています。 メディアのForkastも、現在のAIによる侵入は人間が主導し、AIは攻撃の規模を広げる役割を担っているとまとめています。 americanbanker +1

破られた原因は新たな脆弱性ではなく、業務システムに残っていた弱い本人確認のような古い穴でした

金融委員会は10月4日の報道参考資料で、最近の侵害事故が起きた場所として「融資仲介業者・委託業者などの外部人材と役職員が使うシステム」を挙げました。 CrowdStrikeが描いた2つのシステムもこの範囲に入ります。新韓銀行では、行員ではなく外部の融資仲介業者が使う照会サイトが破られ、顧客の氏名、連絡先、年収、融資限度額が流出しました。 インターネット・モバイルバンキングや、口座・取引を処理する基幹ネットワークは破られておらず、パスワードやOTPも流出していません。顧客が金銭的な被害を受けた事例も確認されていません。 fsc.go +3

American Bankerは、攻撃者が複雑な脆弱性ではなく、ありふれたセキュリティ管理の不備とみられる穴を突いたと報じています。新韓銀行の照会サイトでは携帯電話による本人確認の段階が突破され、釜山銀行は一部のウェブページで接続セッションを十分に検証していなかったと認めました。American Bankerは、外部人材に広く与えられていた閲覧権限も原因に挙げています。 これまでに公開された資料には、今回の攻撃で新たに見つかったセキュリティ上の欠陥は出てきません。開発者ブログDev Geniusに寄稿したNAJAM US SAQIBも、この事件の記事に「AIエージェントは韓国の銀行ハッキングでいちばん安上がりな部分だった」（The AI agent was the cheapest part of the Korean bank hack）というタイトルを付けています。 セキュリティ企業Stealienのパク・チャンアム代表は、金融の基幹システムにはIDとパスワード以外の認証手段もあるため無事で、今回は周辺システムだったからこうした攻撃が可能だったとみていると話しています。 americanbanker +2

被害規模としては、Wall Street Journalが当局者の話として報じた「少なくとも7社、6万8000人」が最も広く知られています。 この数字は金融委員会の発表本文にはありません。CrowdStrikeは被害企業の名前を明かしておらず、韓国当局もARTEXを公式には名指ししていません。 韓国メディアが報じた企業ごとの流出規模と、各社とAIツールを結びつける根拠がどこまで公開されているかは次のとおりです。 wsj +5

表の数字を足すとおよそ6万8000になりますが、これは人数（人）と法人顧客の記録数（件）、人数が明らかでない現代キャピタルの「一部」が混ざった概算で、公式発表でもありません。最も大きな割合を占めるイェガラム貯蓄銀行の約4万人はAIとの関連を報じた公開報道がないため、6万8000人全体をAIエージェントによる攻撃の被害とみるのは難しいです。 reflectiz

Korea JoongAng Dailyは、3つの銀行が侵害の発生から気づくまでにかかった時間も伝えています。 koreajoongangdaily

3行のうち2行は侵入に気づくまで1日以上かかり、国民銀行は3日近くかかりました。

攻撃ツールはコピーが出回って止めにくく、金融委員会は顧客向けかどうかではなく外部に開いているかどうかで点検させました

ARTEXの開発者は、ツールが悪用されたことが知られると、10月8日にソースを非公開にして更新を止めました。違法な利用には反対であり、法に反する行為について責任は負わないと表明しています。 もともとGitHubのページにも、個人の学習とコード研究のためのもので、実際のオンラインシステムには使わないようにという注意書きがありました。 しかし、すでに広まったコピーは残っています。BleepingComputerは英語版と韓国語版に改変した派生版がいまも手に入ると伝え、Dev Geniusは誰でもダウンロードできるコピーがGitHubに897個残っていると書いています。 金融保安院の関係者も、ARTEXのようなオープンソースのAIツールは非常に多いと述べています。 開発者がソースを閉じた後も、同じ種類のツールは手に入り続けます。 reuters +4

金融委員会は10月4日の日曜日、政府ソウル庁舎に金融業界の協会長や主要金融機関、関係省庁を集めて緊急点検会議を開きました。金融委は、顧客向けかどうかにかかわらず外部に公開されているIT資産をすべて点検し、業務上どうしても必要ではない外部アクセスは原則として遮断するよう求めました。認証手続きが抜けていたり迂回されたりしうる経路を点検するよう指示し、「AI攻撃はAIで防御する」セキュリティ体制を整えるよう求めました。 金融当局はこれに先立つ10月1日、攻撃に使われたIPアドレスの情報を約500の金融機関と共有していました。 fsc.go +1

金融委が点検対象を分けた基準は、顧客が使うシステムかどうかではなく、外部に開いているかどうかでした。今回破られた融資仲介業者向けの照会サイトと職員向けのモバイル業務システムは、顧客が直接使うものではありませんでしたが、外部の仲介業者や職員が外から接続するシステムでした。 crowdstrike +1

顧客が使うバンキングと基幹ネットワークは今回破られていません → 攻撃者が商用AIモデルをつないだエージェントで金融機関を手当たり次第に狙うと、本人確認の弱い融資仲介業者・職員向けの業務システムが破られました → だから金融委員会の点検基準は、顧客向けかどうかではなく、外部に開いているかどうかなのです。

さらに詳しく知りたい方へ

CrowdStrikeの一次分析 攻撃者のサーバーに残ったAIの作業記録をどう入手し、何を確認したのかをまとめた原文です（英語）。 crowdstrike.com

金融当局の公式な見立てと対応 何を原因とみて、金融業界に何を求めたのかをまとめた金融委員会の報道参考資料です（韓国語）。 fsc.go.kr

古い穴が原因だったという分析 融資仲介業者向けサイト、弱い本人確認、セッション検証の不備を指摘した記事です（英語）。 americanbanker.com