AIハッカーの襲来：韓国金融業界が再びサイバー攻撃の波に直面

編集者注：攻撃者が大規模言語モデルを用いてフィッシングの文句を大量生成し、システムの脆弱性を自動探索し始めた今、サイバーセキュリティの攻防バランスは静かに崩れつつある。韓国金融業界が最近経験した事態は、アジア地域におけるAI駆動型サイバー攻撃の波の序章に過ぎないかもしれない。

新たな攻撃：同じ標的、異なる手口

TechCrunchの報道によると、韓国の金融機関は最近また新たなサイバー攻撃に遭遇した。韓国金融業界が矢面に立たされるのはこれが初めてではない——過去十数年間、同国の銀行、証券会社、決済機関は大規模なサイバー攻撃の標的となることが度々あり、攻撃手法は初期の分散型サービス妨害（DDoS）攻撃から、その後のサプライチェーン侵害、内部システムへの侵入へと進化し続けてきた。今回、セキュリティ専門家が最も警戒しているのは攻撃の規模そのものではなく、攻撃の背後にあるAI化の特徴がますます明確になっていることだ。

報道によれば、今回の攻撃はアジア地域においてAI駆動型のハッキング活動が増大するリスクを浮き彫りにしている。従来の攻撃が手動による一つひとつの試行に依存していたのとは異なり、AIツールは極めて短時間のうちに標的の偵察、脆弱性のスクリーニング、フィッシングコンテンツの生成、さらには攻撃経路の計画まで完了させることができ、かつては数週間を要していた準備期間を数時間、あるいは数分にまで圧縮する。

AIがサイバー攻撃の「コスト曲線」を書き換える

サイバーセキュリティ業界では長らく、防御側のコストは常に攻撃側を上回るという基本的な認識が存在してきた。生成AIの登場は、この非対称性をさらに拡大させている。一方では、大規模言語モデルが極めて低コストで文法的に自然でコンテキストに即したフィッシングメールや偽のカスタマーサービス会話を大量生成できるようになり、ソーシャルエンジニアリング攻撃の識別難度が著しく上昇している。他方、AIは公開されている漏洩コードや設定情報を攻撃者が迅速に分析し、脆弱な箇所を自動的に特定することを支援する。

さらに注目すべきは「自動化攻撃チェーン」の形成だ。かつて完全な侵入には、偵察、感染、権限昇格、ラテラルムーブメントなど複数の段階が必要であり、各段階で人的ミスによって中断される可能性があった。今日では、エージェント（Agent）技術によって複数の段階を連続実行させることが可能となり、攻撃者は目標を設定するだけで残りのプロセスはシステムに任せられる。これは、中小規模の犯罪グループであっても、かつては高度持続的脅威（APT）組織のみが持ち得た作戦能力を備えられることを意味する。

業界では広く、AIがまったく新しい攻撃手法を生み出すわけではないが、既存の攻撃をより速く、より安価に、そして従来のルールベースのエンジンでは検知しにくくすると認識されている。防御側が依然として特徴マッチングと人的判断に頼り続けるなら、攻撃のペースに追いつくことはますます困難になるだろう。

韓国が繰り返し攻撃標的となる理由

韓国の金融業界が繰り返し狙われるのは、その独自の特性と密接に関連している。まず、韓国は世界で最もデジタル化が進んだ経済圏の一つであり、モバイル決済やオンライン証券取引の普及率が極めて高く、金融サービスとインターネットが深く結びついているため、攻撃対象となりうる面が本質的に広い。次に、同国の金融システムは高度に集中しており、少数の大手機関と密集した中小フィンテック企業が生態系を形成しているため、サプライチェーンのどこかが突破されると、リスクがチェーン全体に波及しやすい。

また、地政学的要因も無視できない。朝鮮半島は長期にわたり複雑なサイバー対立環境に置かれており、金融システムへの攻撃はしばしば経済的利益の獲得と戦略的抑止という二重の目的を帯びている。このため韓国の金融機関は、日常業務に加えて、セキュリティ対策や緊急対応訓練に継続的に多大なリソースを投入せざるを得ない。

金融機関の対応：「コンプライアンス達成」から「実戦対抗」へ

AI化した攻撃に対して、ファイアウォールや侵入検知システムを単純に積み重ねるだけでは対処が難しくなっている。業界内ではいくつかの共通認識が形成されつつある。第一に、AIを防御側にも活用し、行動ベースラインのモデリングと異常検知によって「人間的な操作習慣」に合致しない自動化された行動を識別すること。第二に、アイデンティティとアクセス権限の管理を強化し、ゼロトラストアーキテクチャをアカウント、インターフェース、内部システムのレベルまで落とし込むこと。第三に、サプライチェーンセキュリティを重視し、サードパーティのサービスプロバイダーに対して一度きりの審査ではなく継続的なリスク評価を行うことだ。

規制当局レベルの連携も同様に重要だ。韓国の金融規制当局は近年、金融機関によるレッドチーム・ブルーチーム対抗演習の実施を促進し、重大なセキュリティインシデントの強制開示を義務付け、フィンテック企業に対するセキュリティ参入要件の強化を進めている。しかし課題は、規制ルールの更新速度が攻撃技術の進化速度に追いつかないことが多く、「管理できる」と「イノベーションを阻害しない」のバランスをいかに取るかが未解決の問題として残っている点だ。

アジア市場への示唆

韓国が今回経験したことは孤立した事例ではない。AIツールがアジア各市場に普及するにつれ、金融、電子商取引、行政など大量の機密データを保有する業界はいずれも同様の圧力に直面している。中国の金融機関やテクノロジー企業にとって、少なくとも三つの点が参考になる。一つ目は、AIセキュリティを技術部門だけの課題としてではなく、全体的なリスク管理フレームワークに組み込むこと。二つ目は、自動化攻撃を対象とした監視能力を構築し、機械的速度での異常なアクセスに重点的に注目すること。三つ目は、業界レベルで脅威インテリジェンスの共有を推進し、各社が孤立して対処する状況を避けることだ。

サイバーセキュリティとは、一度勝てば終わりという戦いではない。攻撃者がAIを活用して効率を高め始めた今、防御側に唯一残された選択肢は、同じ進化をより速いスピードで成し遂げることだ。

本稿はTechCrunchより編訳