互联网银行强化安全防御应对黑客威胁

本月6日的检查显示，KakaoBank、K Bank及Toss Bank曾遭遇黑客尝试访问服务器，其中Toss Bank在今年1月至8月期间共确认了14次访问尝试，目前尚未导致客户信息泄露或系统侵入损害。

在近期传统商业银行接连发生黑客攻击事件之际，互联网专业银行也监测到了外部IP尝试访问服务器的情况。根据本月6日的金融界检查结果显示，部分在商业银行黑客攻击中使用的互联网协议地址（IP），也曾尝试访问KakaoBank、K Bank及Toss Bank等三家互联网银行的服务器。

据统计，KakaoBank在今年1月和3月共遭遇6次访问尝试，9月还出现过1次旨在寻找漏洞的访问；K Bank自7月起确认了4次访问尝试；Toss Bank则在1月至8月期间确认了14次访问尝试。不过，目前掌握的情况显示，这些尝试并未导致客户信息泄露或系统侵入损害。

随着金融界黑客攻击事件成为大韩民国国会国政检查的主要议题，这些互联网银行的安全应对措施也受到了广泛关注。根据Invest于26日对三家互联网银行的直接采访结果，各银行正通过利用人工智能（AI）进行漏洞检查以及外部专家验证等方式强化安全体系。不过，在信息保护投资规模和专职人员运营方面，各银行之间存在差异。

此前，在19日大韩民国国会政务委员会针对金融监督院进行的国政检查中，五大商业银行行长就黑客攻击事件接受了质询，并承诺将扩大安全投资并制定防止再次发生的对策。

Lee Hwan-ju（KB Kookmin Bank行长）表示：“我们将确保充足的安全预算和人员，并利用AI安全系统应对利用AI进行的黑客攻击。”Jung Sang-hyuk（新韩银行行长）表示：“我们将进行令国民认可水平的信息保护投资。”Lee Ho-sung（韩国外换银行行长）也回应称：“我们将扩充安全预算和人员，以应对AI黑客攻击。”

利用AI检查漏洞并进行外部专家验证

KakaoBank为了预防黑客攻击，正在强化利用AI进行漏洞检查以及基于零信任的安全体系。该方式通过AI预先掌握系统的漏洞及外部攻击者可能进入的路径，并在用户和设备访问系统时持续确认权限。

除了事前检查，该行还在制定应对体系，以期在实际发生侵入事故时将损失降至最低。其重点在于通过将服务与系统进行分离和隔离，确保即使部分系统被黑客攻击，损失也不会蔓延到其他领域。

针对利用AI技术发起的全新威胁，该行也在进行应对。包括通过指令攻击诱导AI产生非预期动作的恶意指令，以及对AI模型和供应链相关威胁的监控。

此外，该行还在进行旨在提高面向客户的AI服务安全性的研究。目前正与KAIST共同研究可应用于金融环境的“AI护栏”技术。AI护栏是一种控制AI不生成危险或不当响应的技术。

K Bank则集中于假设外部攻击的安全性检查。针对近期金融界黑客攻击事件，该行已完成对防火墙、入侵防御系统（IPS）及Web应用防火墙（WAF）等主要安全系统访问记录的检查，并对可疑IP采取了阻断措施。

平时，该行通过掌握可从外部访问的服务器和系统来管理漏洞。特别是利用AI进行“黑盒渗透测试”，以检查安全漏洞。这种方式是从不知道系统内部信息的外部攻击者立场出发，通过重现黑客攻击情况来寻找漏洞。

K Bank相关人士解释称：“未来计划持续高度化针对IT资产的漏洞管理自动化，以及利用AI的威胁探测与应对体系。”

Toss Bank则在内部安全检查的基础上增加了外部专家的验证。其信息保护组织负责审查和检查银行服务的整体安全性，并将客户信息的访问权限限制在业务所需的最小范围内，同时记录并检查所有的访问历史。为了补充内部检查，该行还运营着“Toss漏洞赏金挑战”，即如果外部安全研究人员发现漏洞并举报，将给予奖励。

在推出新的金融服务之前，该行会进行自主模拟黑客攻击，并定期检查运行中的服务漏洞。公司解释称，基于其他金融公司发生的黑客攻击和个人信息泄露案例，该行正在全面重新检查存在类似风险的服务，并立即改进需要完善的部分。

持续进行安全投资，但规模与人员运营存在差异

三家互联网银行在强化安全技术和应对体系的同时，也在致力于信息保护投资和专职人员的配备。不过，各银行在投资规模、人员运营及未来计划方面表现出差异。

根据KakaoBank今年首次参与的信息保护自主公示，去年其信息保护投资额为261亿韩元，占整体信息技术（IT）投资额2,113亿韩元的12.4%。信息保护专职人员为78.5人，占整体IT人员865.1人的9.1%水平。

这一比例高于主要的商业银行。同期，友利银行的信息保护投资占比为9.1%，韩国外换银行为9.0%，KB Kookmin Bank为8.2%，新韩银行为8.0%。

K Bank今年的信息安全预算为168亿韩元。安全相关人员在去年和今年均维持在约34人的相似水平。

Toss Bank自成立以来持续增加信息保护投资额。投资额从2022年的66亿韩元增加到2023年的88亿韩元、2024年的95亿韩元，去年达到了127亿韩元。在三年内规模增长了约1.9倍。去年其信息保护投资占IT投资的比例为11.9%，专职人员占比为7.8%。此外，该行还维持着ISMS-P、ISO27001、ISO27701以及支付安全标准PCI-DSS这四项认证。

Toss Bank相关人士表示：“安全投资不仅是为了遵守法规，更是为了先发制人地具备能力。未来也将根据组织的成长，持续扩大投资和人员规模。”

阅读韩文原文