最高級のセキュリティ認証を誇る韓国の金融会社が、人工知能（AI）エージェントのハッキング攻撃に虚しく突破された。進化するAI攻撃と低くなったハッキング障壁に捜査は難航している。

金融業界によると、韓国の主要都市銀行は年間300億～500億ウォンの投資を執行し最高水準のセキュリティを誇示してきた。新韓銀行は金融委員会の点検で「6年連続S等級」を取得し、北大西洋条約機構（NATO）サイバー防衛センターの訓練に参加したと公示した。KB国民銀行とハナ銀行もやはり強化された多重認証と徹底したアクセス統制を強調してきた。


だが今回の攻撃では対応できなかった。メインサーバーにだけセキュリティ能力を集中し、アプリケーションインターフェース（API）で外部に露出する周辺部システムが致命的な「裏口」になった。金融セキュリティに通じたある関係者は、「情報技術を活用した革新金融サービスが強調され、APIを活用して容易に外注で作った各種アプリケーションが雨後の筍のように出てきたが、この部分でセキュリティホールが露出した。外注製作したアプリとサービスから全面的に点検しなければならないだろう」と指摘した。予算と人材が劣るノンバンクや中小企業、公共機関はハッキングされた事実さえ認知できていない可能性が大きいとの警告も出ている。


市民の不安感は大きくなっている。被害者はオンラインコミュニティを開設し集団損害賠償訴訟を準備して自助策に出た。集団訴訟コミュニティを開設したある被害者は、「情報が流出したらあらかじめキャプチャーしておき、おかしな電話があれば日時と内容も書きとめよう」と案内している。ノードVPNのファン・ソンホ韓国支社長は「（既に流出した）個人情報と金融情報の照合が可能という点で今回の事態は懸念される」とした。

攻撃者の追跡は霧の中だ。警察庁サイバー捜査局は攻撃IPから中国語基盤のオープンソースセキュリティ点検ツールである「ARTEX AI」の痕跡をとらえ国際共助を推進中だ。しかしギットハブなどに公開されたツールであるだけに、これを中国発のハッキングと断定するのは難しい。過去にSKテレコムのUSIM流出事件や、KTやクーパンの情報流出のように捜査が長期間にわたり漂流するのではとの懐疑論も濃厚だ。警察関係者は「海外IP経由とクラウド迂回だけでなく外交的摩擦問題まで絡まっており、被疑者の特定と身柄確保は難しい」と伝えた。

問題はAIの発展により同様のサイバー攻撃が日常的に発生する可能性がある点だ。2月にイタリアの銀行では弁護士の声を複製したディープフェイクAIにだまされ最高経営責任者（CEO）が9500万ユーロ（約17億円）を送金する事件が発生した。8月にもポイント72、ツーシグマ、シタデルなど海外ファンドにも役員の声をまねたAIが敏感情報を奪取しようとする試みがあった。グーグルの脅威分析部門GTIGは先月の報告書で、「4－6月期にクラウドを掌握したAIエージェントが大規模個人情報奪取作戦を直接立てて実行するまで6時間もかからなかった」と明らかにした。

順天郷（スンチョンヒャン）大学情報保護学科のヨム・フンヨル教授は「槍がAIで鋭くなったとすれば盾もAIで堅固にしなければならない。高性能セキュリティAIを導入し攻撃者より先に弱点を見つけ出す『AI対AI』の対応網を構築しなければならない」と話している。