バイナンスで63億ドルの資産流出、政府はセキュリティ機関の設置検討へ

バイナンスで約63億ドルの資産被害が発生したほか、大統領夫妻を含む巡回団の個人情報が露出する事態となり、イ・ジェミョン大統領は公共と民間のセキュリティ機能を総括する汎政府的機関の構成を検討するよう指示した。

サイバーセキュリティ問題が、金融資産や個人情報の保護にとどまらず、国家安全保障の課題として浮上している。グローバル仮想通貨取引所のバイナンスは、ハッキングにより約63億ドルの資産被害が発生したと発表したほか、国内では大統領夫妻を含む巡回団のパスポート番号などの個人情報がインターネット上に露出した事実が報じられた。また、ウェブサイト開発に広く用いられるPHPにおいても、認証なしでサーバー上で命令を実行できる脆弱性が発見され、政府は緊急のセキュリティアップデートを要請している。

国内の金融会社でも顧客情報の流出が相次いでいることを受け、政府はセキュリティ監視および脆弱性点検体制を強化することを決定した。イ・ジェミョン大統領は、攻撃の兆候を事前に検知して対応できる体制を命じるとともに、公共および民間のセキュリティ機能を総括・調整する汎政府的機関の構成を検討するよう指示した。

海外の金融機関を標的としたサイバー攻撃により、資金奪取の被害が相次いでいる。ETによると、10月時点で約20の金融機関がサイバー攻撃の影響を受けており、攻撃者が提携銀行のアカウント情報や決済システムの脆弱性を利用して資金を流用した疑いがあると報じられている。

グローバル仮想通貨取引所のバイナンスでも、大規模な資産奪取事故が発生した。バイナンスは10月30日の公式通知において、前日の午後8時5分頃（UTC）、オンライン入出金用のウォレットであるホットウォレットが侵害され、約63億ドルの資産被害が発生したと明らかにした。同社は、利用者保護基金と自己資金によって損失を補填し、顧客に被害を転嫁しないと説明している。

バイナンスは侵害されたインフラを隔離し、関連するアクセス権限を取消した。初期調査ではノートPCの侵害の可能性が提起されたが、その後の調査で別の侵害箇所も発見された。同社は、当時の時点でウォレットの秘密鍵が流出した証拠は見つかっていないとし、内部および外部のセキュリティ専門家とともに攻撃経路を調査していると述べた。

奪取された資産の追跡には、司法機関やブロックチェーン分析会社、資産発行会社などが参加した。バイナンスは通知当時、盗まれたUSDC、USDT、BTC、ETH、BNBなどのトークン化資産50億ドルを確保し、約30億ドルの資産をブロックチェーン上で凍結したと発表した。続く11月5日のアップデートでは、自己資金によって損失額を上回る財源を確保し、被害資産の約98%を補充したと報告した。残りの約2%については市場や相対取引を通じて買い戻しているが、流動性が低いため確保に時間がかかる可能性があると付け加えた。

インドの国営銀行（SBI）は、外部セキュリティ機関からの警告を受け、顧客情報の流出疑惑を調査している。ETによれば、SBIは10月16日、脅威情報提供業者、インド国防サイバー庁、およびインドコンピュータ緊急対応チーム（CERT-In）から情報露出の可能性を通知された。予備調査の結果、ダークウェブに登場した銀行関連の記録約37万5,000件のうち、個人情報を含む顧客記録3,897件が含まれていることが確認された。当該記録には、氏名、携帯電話番号、メールアドレス、生年月日、住所、ローン申請関連情報などが含まれている。

フィリピンでは、セキュリティ企業が攻撃者の中間サーバーを分析した際、海外雇用に関する政府データ（認証、契約書、会計担当者およびLandbankの記録など）の持ち出しの形跡を発見した。Hunt.ioは先月28日、フィリピン海外雇用庁に関連するバックアップデータベース27個、約69GBが約24分間にわたりシンガポール所在のサーバーへコピーされたと発表した。研究チームはサーバーに残されたログや権限昇格ツールなどを確保し、フィリピン国家災害対応チーム（CERT）に報告した。

これに先立つ8月にも、フィリピンの機関におけるデータ奪取の形跡が確認されている。Hunt.ioは、別の攻撃者の作業スペースにおいて、複数のツールとともにフィリピンの原子力規制機関および海運会社から奪取されたデータ約1.2GBを発見している。

韓国国内では、仮想通貨取引所や証券会社の顧客情報流出が相次いだ。Bithumbは10月29日、社内のモバイルグループウェアであるDaou Officeに外部の未許可者がアクセスし、顧客や従業員などの個人情報が流出したと発表した。顧客6,444人が流出対象に含まれており、同社は、このうち5,600人の情報は暗号化されているため内容を確認できない状態であると説明した。また、従業員や協力会社などの外部人材715人の情報も流出した。

流出項目には、氏名、連絡先、住民登録番号、口座番号、身分証の写し、取引履歴、ウォレットアドレスなどが含まれている。Bithumbは、取引所のサービスシステムや顧客データベースが直接侵害された形跡は確認されていないと述べた。同社はグループウェアの使用を停止し、開発会社とともにセキュリティ点検・補完措置を進めているほか、顧客ごとに流出の有無を確認できる照会サービスを提供し、二次被害への注意を呼びかけている。

ハンヤン証券は、顧客情報の流出を確認した後、外部からのアクセスを遮断し、グループウェアの供給会社とともに緊急セキュリティパッチを適用した。同社は3日、外部グループウェアソリューションに異常なアクセスが発生し、10月29日に情報流出の事実を確認したとし、流出の経緯と範囲を調査し、関係機関への届出手続きを進めたと明らかにした。対象となる顧客には個別に通知した。流出データは、顧客情報15件、役職員関連情報2件、一般個人情報14件と把握されている。氏名・連絡先・住所・生年月日・メールアドレスおよび口座番号・運転免許番号などが含まれており、住民登録番号が含まれる資料は3件である。

Daishin Securitiesでは、顧客3万8,490人の個人信用情報が流出した。同社は10月17日に外部からの不法なアクセス試行を検知した後に調査を開始し、同月26日に情報流出の事実を確認したと明らかにした。流出項目は、顧客名・メールアドレス・住所・通信ID・銀行名および暗号化された入出金口座番号・Daishin Securities総合口座番号・携帯電話番号など、計8項目である。Daishin Securitiesは、攻撃に使用されたIPおよび迂回接続IPを遮断し、追加の脆弱性点検とセキュリティ措置を実施した。監視システムのモニタリングも強化しており、規制機関に報告して調査に協力していると説明した。

企業向けソフトウェアメーカーのDOUZONE BIZONでも、開発サーバーとバックアップサーバーの侵害事故が発生した。同社は10月26日に開発サーバーへの外部からの不法なアクセスがあり、顧客企業の役職員情報が流出した可能性があるとして調査中であることを明らかにした。APOバックアップサーバーでも異常の兆候を発見し、報告した。同社は、バックアップサーバーの事故がバックアップソリューションの脆弱性を悪用したゼロデイ攻撃に該当すると説明した。

DOUZONE BIZONは外部からのアクセス経路を遮断し、関連アカウントに保護措置を適用し、KISAおよび個人情報保護委員会に事故の事実を伝えた。外部の専門機関と流出の有無などを調査し、影響を受ける可能性がある顧客企業には個別に案内した。同社は「すでに約160億ウォン規模の情報セキュリティ投資を進めており、セキュリティ強化に尽力している」とし、「今回の調査を通じて開発環境のデータ管理手順とアクセス制御を点検し、民官合同調査団の履行命令にも従う」と明らかにした。

大統領夫妻と巡回随行人員の個人情報がインターネット上に露出した事実も明らかになった。KBSは11月2日、セキュリティ関連の有料サイトに空軍1号機の搭乗者168名の情報が含まれたファイルが掲載されたと報じた。去る6月にアップロードされた「搭乗客名簿（大韓民国-ベルギー）」ファイルに、大統領夫妻と政府関係者、警護員、出入り記者などの氏名・所属・職位・生年月日・パスポート番号およびパスポートの発行・有効期限などが含まれているという説明だ。外交部は事案を厳重に認識しており、経緯を調査して結果に基づき必要な措置を講じると明らかにした。

政府は、ウェブサイトの開発言語であるPHPのセキュリティ脆弱性と金融界の侵害事故に対応するため、緊急セキュリティ措置と管理体系の改編に乗り出した。科学技術情報通信部とKISAは、10月22日にPHPにおける深刻な脆弱性が2件公開されたとし、国内企業・機関に即時的なアップデートを要請した。同日、民間分野のサイバー危機警報も「関心」から「注意」に引き上げ、侵害対応人員の増員や非常出動組の常時待機など、非常対応体系を稼働させた。

PHPはホームページやショッピングモール、掲示板、管理者ページなどを作成するために使用され、WordPressやGnuboardなどもこれを基盤として動作する。今回の脆弱性は、攻撃者がIDとパスワードなしで操作されたリクエストを送り、サーバーで命令を実行できる欠陥である。個別のホームページではなくPHP自体の問題であるため、ウェブサイトプログラムを安全に作成していても影響を受ける可能性がある。攻撃に成功すれば、サーバーに遠隔操作ファイルであるウェブシェルを設置したり、顧客情報を盗み出したり、ホームページを改ざん・麻痺させたりすることができる。

科学技術情報通信部は、運用中のシステムのPHPバージョンを確認し、セキュリティアップデート後にウェブサービスを再起動するよう案内した。すでにアップデートを完了したサーバーについても、異常な接続記録やウェブシェルの設置有無を点検するよう求めた。このような対応指針は、情報保護最高責任者（CISO）届出企業やウェブホスティング会社、インターネットデータセンター（IDC）などに伝達されており、国内外のセキュリティ業界と協力して攻撃動向も継続的に点検している。

ペ・ギョンフン副総理兼科学技術情報通信部長官は「手動点検後に数日以内にパッチを適用する既存の方法では、攻撃の防御に限界がある」とし、「インターネット接点の即時的な遮断やウェブファイアウォールのルールを先制的に適用するなど、自動化された対応体系が必要だ」と明らかにした。

金融当局は、金融会社の侵害事故調査とセキュリティ管理体系の点検を実施した。大韓民国金融委員会が先月14日に発表した資料によると、新韓銀行の侵害事故の前後で、銀行・貯蓄銀行・相互金融・仮想資産事業者など金融界16カ所で事故が確認された。当時把握された情報流出規模は、氏名・連絡先・住民登録番号・メールアドレスなど約10万件である。大韓民国金融委員会は、金融会社が共有された攻撃者のIPをもとに追加の侵害の有無を確認しており、事故が確認される会社数が増える可能性があると説明した。

金融会社555社を対象に実施したチェックリスト点検では、130社がセキュリティ管理において不十分な点があると報告した。最新のセキュリティパッチの未適用や、メーカーの技術サポートが終了したシステムの管理不足、24時間監視体制の未構築、外部システムの認証・認可の漏れ、重要サービスへの多要素認証の未導入などが主な問題として指摘された。該当する会社らは、セキュリティパッチの適用や老朽化した機器の交換、監視人員・設備の拡充、アクセス制御の強化などの補完計画を提出し、措置に入った。

大韓民国金融委員会は、個別の会社の補完措置とは別に、外部接点と認証体系、内部統制などセキュリティ管理全般を全数点検する計画だ。外部と接続される電算接点をリストで管理し、接点ごとに認証・アクセス権限を明確に設定するよう指導することにした。最高経営責任者（CEO）と情報保護最高責任者（CISO）、情報技術最高責任者（CIO）の報告体系と責任範囲も具体化する方針だ。

脅威情報の共有と脆弱性探知体系も改編する。大韓民国金融委員会は、金融会社が独自のセキュリティ監視過程で確保した情報も統合監視システム（FIRST）などを通じて共有できるようシステムを改善し、外部に露出している資産とソースコード・モバイルアプリの脆弱性を探知するAIベースの点検インフラ構築を推進する。大型金融会社から脆弱性点検・評価を年2回以上に拡大する案を推進し、中小規模の金融会社のためのAIベースの共同セキュリティ監視システムの構築も検討することにした。

イ・ジェミョン大統領は、3日に青瓦台で主宰した第47回国務会議において、公共・民間のセキュリティ機能を総括・調整する政府横断的な機関の構成を検討するよう指示した。国内外のハッキング攻撃と大規模な仮想資産奪取事故に言及し、事故発生後に点検して対応する方式から脱却し、総合的な予防体系を整備しなければならないと強調した。

イ大統領は、AIの発達によりハッキング技術が知能化・高度化しているとし、既存のセキュリティ体系の限界を指摘した。サイバー攻撃が国民の日常生活だけでなく、国家経済や安保にも影響を与えているだけに、脆弱性を狙った攻撃の兆候を事前に探知し、伝播・対応できるシステムを構築するよう命じた。主要な公共サービスや情報通信・エネルギー・金融などの国家核心インフラのセキュリティ脆弱性も補完するよう促した。

各部省や機関に分散しているセキュリティ機能を調整する組織の必要性も提示した。イ大統領は「公共と民間の領域を網羅する政府横断的なレベルの大策機関の設置議論も必要だ」とし、「散在しているセキュリティ機能を総括調整できる、強力で実効的なサイバーセキュリティ・ツァーリ（主導者）機関の構成を積極的に検討してほしい」と述べた。

続いてイ大統領は「デジタル時代の先導者になるためには、半導体とAIだけでなく、サイバーセキュリティ能力も共に備えなければならない」と付け加えた。

韓国語の原文を読む