AI搭載ハッキングツールで韓国複数銀行が被害、単独犯の可能性

何が起きたか

セキュリティ企業CrowdStrikeの分析によると、単独とみられる攻撃者が複数の韓国の金融機関に対するハッキングを実行し、少なくとも新韓銀行（Shinhan Bank）1社だけで2万5000件を超える顧客記録が窃取されたことが明らかになった。攻撃者は中国語話者とみられている。

今回の侵入で使用されたのは、オープンソースのペネトレーションテストツール「ARTEX」で、DeepSeekやGLM-5.3といった生成AIモデルを組み込み、侵入テストの工程を自動化できる点が特徴とされる。CrowdStrikeは、このツールにより本来であれば専門チームを要する規模の攻撃を、実質的に一人の攻撃者が遂行できた可能性を指摘している。

重要性

この事案が示すのは、AIを活用した攻撃自動化ツールが、サイバー攻撃の実行に必要な人員・スキルの敷居を大きく引き下げつつあるという現実である。従来は組織的なチームが必要とされた偵察・脆弱性探索・侵入の各工程を、単独の攻撃者が生成AIモデルの支援により効率的にこなせるようになったことは、金融機関を含む企業のセキュリティ態勢の前提そのものを揺るがす。

企業のデジタル変革やAI導入を推進するリーダーにとっては、攻撃側の能力向上のスピードが防御側の対策整備のペースを上回りかねない点が課題となる。顧客データを扱う銀行やサービス事業者は、AIによる攻撃の高度化・自動化を前提とした防御体制の再設計を迫られている。

主な数字

• 25,000件超の顧客記録が新韓銀行から窃取されたとされる。
• 複数の韓国金融機関が同一の攻撃者による侵害を受けた可能性がある。

Renascenceの視点

今回の事案は、セキュリティ専門家の間では「攻撃の民主化」として語られがちだが、顧客体験や信頼設計の観点からも見過ごせない意味を持つ。金融機関にとって顧客データの漏洩は、単なる技術的インシデントではなく、長年築いてきた顧客との信頼関係そのものを損なう体験上の危機である。

多くの組織は、AIによる攻撃の高度化を「セキュリティ部門だけの問題」として処理しがちだが、実際には顧客との信頼関係を左右する体験設計の問題でもある。侵害が発生した際にどれだけ早く、誠実に、分かりやすく顧客に伝えられるかが、ブランドへの長期的な信頼を決定づける。AI活用が攻撃側・防御側双方で加速するいま、顧客対応型組織は平時からインシデント発生時のコミュニケーション設計と、顧客データの最小化・透明性のある取り扱い方針を、技術対策と同じ優先度で整備しておくべきだ。