韓国金融16社が被害、人手頼みのセキュリティ限界

韓国の金融当局は、10月中旬までに銀行、貯蓄銀行、キャピタル会社、証券会社、暗号資産取引所など16社で侵害を確認した。1年前にはカード会社1社から約300万人分の情報が流出している。被害企業の多くは認証を取得し、機器を導入し、定期点検も受けていた。あるセキュリティコラムは、人の手で守る体制が限界に達したと指摘する。

AIを使う個人が複数社を攻撃

当局は、複数の金融機関で同一の攻撃者がAIツールによる大量の自動化攻撃を行った痕跡を確認した。海外のセキュリティ企業の分析では、攻撃者は数台のサーバーとAIを組み合わせた個人とされる。盗んだ金融情報の売却先をAIに尋ねていたという。身元は未解明で、調査が続いている。

脆弱性の発見速度も変わった。今春「ミトス・ショック」を起こしたAIモデルは1カ月で1万件超の高リスク脆弱性を見つけた。あるグローバル報告書は、脆弱性が悪用されるまでの平均時間を「マイナス7日」とした。パッチより攻撃が1週間早いという意味だ。

パッチから「信頼空間」の防御へ

コラムは、パッチ中心の防御は資産の完全把握、全脆弱性の対処、攻撃者より速い作業という3条件に依存し、AI時代にはそれが同時に崩れたと論じる。技術的な穴が減れば、攻撃者は盗まれたアカウントや本人確認のない照会サービス、ボイスフィッシングなど、パッチの存在しない弱点を狙う。

提案されるのはゼロトラストだ。予防を突破した攻撃者が正常な利用者として振る舞う「信頼の空間」を可視化し、内部の行動を検証する。主要銀行が侵入に気づくまで15〜68時間かかったという。人だけでは守れないため、正常状態を学習した防御AIが異常な接続を遮断し、権限を回収し、システムを隔離する構成を求める。人の役割は警報確認から、原則づくりと責任を負うことへ移る。

最後に筆者は経営の問いを変えるよう促す。「パッチは済んだか」ではなく、「予防をすり抜けた攻撃を目的達成前に止められるか」を問い、成果は認証の数でなく検知と遮断までの時間で測るべきだとする。