韓国の金融業界を相次いで攻撃したハッカーが中国広東省に居住する26歳の人物である可能性が浮上した。攻撃者は香港のサーバーを指揮拠点とし、中国の人工知能（AI）モデル「ディープシーク」をはじめ複数の生成AIを活用したと分析された。

世界的なサイバーセキュリティー企業クラウドストライクは7日（現地時間）に公開した分析報告書で、最近、韓国の金融機関を狙った攻撃者の身元についてこうした状況を確認したと明らかにした。


今回の金融業界ハッキング事件に関連し、攻撃者の具体的な年齢と居住地域を推定できる手掛かりが出てきたのは初めてだ。ただ、クラウドストライクは複数の状況に基づいた分析にすぎず、攻撃者の実際の身元が確定したわけではないと伝えた。


攻撃者の個人情報は生成AIコーディングツール「クロード・コード」を使用する過程で露出したと把握された。

報告書によると、攻撃者はクロードに自身の侵入テストの実績を盛り込んだセキュリティー研究者としての履歴書の作成を依頼し、その際に名前のイニシャルやテレグラムのアカウント、学歴、居住地などの情報を入力した。

この過程で攻撃者は盗み出した韓国の金融情報が通常どこで取引されているのか、韓国語のテレグラムのデータ販売チャンネルをどのように見つけられるかについてもクロードに質問したことが調査で分かった。

特に、このテレグラムのアカウントは別のサイバー攻撃に関連する状況でも繰り返し登場していたことが分かった。

テレグラムを基盤とする非代替性トークン（NFT）のギフトマーケットプレイスの脆弱性を調査したセッションや、中国のある決済プラットフォームを狙った攻撃の状況でも同じアカウント名が使用されていたことが把握された。

クラウドストライクはこうした複数の状況を合わせた結果、今回の金融業界への攻撃者が中国広東省に居住する26歳の人物である可能性を提起した。ただ、現時点で確保された情報だけでは同一人物と断定するのは難しいと説明した。

攻撃者はハッキング過程で複数のサーバーとAIモデルを役割ごとに分けて使用したと分析された。

香港所在のIPアドレスを攻撃全体を統制する主要インフラとして使用し、実際に韓国金融機関攻撃に投入された中国製オープンソースの人工知能（AI）エージェントツール「ARTEX」は別のIPアドレスから運用する方式だ。

また、9つのプロキシIPアドレスを追加で使用し、接続経路を継続的に変更していたことが調査で分かった。

ARTEXを稼働させる核心AIとしてはディープシークの軽量モデル「V4．1フラッシュ」が活用され、正規のサービス経路でなく第三者の再販業者を通じて迂回接続したと分析された。

攻撃者はこれとともにクロード・コードのセッションで中国のZhipu AIの「GLM－5．3」や「Grok 4．6」など別の大規模言語モデル（LLM）も補助的に使用したことが分かった。

特定のAIモデルやサーバー1つに依存せず、攻撃の目的や状況に応じて複数のAIとインフラを組み合わせたのだ。

クラウドストライクは今回の攻撃者が中国語を使用する人物である可能性が高く、金銭的な動機で動いた可能性を「中間レベルの信頼度」と評価した。

今回の金融業界ハッキング事件は、先月末から今月初めにかけてハナ銀行、KB国民銀行、ハナ銀行、BNK釜山銀行、イェガラム貯蓄銀行、ウェルカム貯蓄銀行、現代キャピタルの7つの金融機関で相次いで侵害事故が確認されたことで表面化した。

金融当局によると、各金融機関を攻撃したIPアドレスはそれぞれ異なっていたが、同一の攻撃者がIPを変更しながら類似の手法で複数の金融機関を連続攻撃した状況が確認された。

攻撃者はAIツールを活用して多数の金融機関を対象に大規模な自動化攻撃を行ったと分析されている。

特に銀行攻撃に使用されたIPからARTEX AIを活用した痕跡が確認されたことで、韓国警察庁のサイバー捜査局も関連の経緯を調べている。