韓国の金融機関を狙ったサイバー攻撃を巡り、米セキュリティ企業CrowdStrikeは10月7日（現地時間）、攻撃に使われたとみられるサーバの分析結果を公表した。分析では、中国で開発されたオープンソースのエージェント型侵入テストツール「ARTEX」と複数の大規模言語モデル（LLM）が使われた痕跡に加え、攻撃者本人のものとみられる個人情報が見つかったという。
事案の詳細
攻撃は2026年9月下旬から10月上旬にかけて行われたとみられ、韓国の複数の金融機関が標的となった。報道では、少なくとも新韓銀行、KB国民銀行、ハナ銀行、イェガラム貯蓄銀行、BNK釜山銀行が影響を受けた金融機関として挙げられている。
CrowdStrikeの分析では、攻撃者がARTEXと複数のLLMを組み合わせて利用した痕跡が確認された。サーバ上には、AIコーディングツール「Claude Code」の利用記録やARTEXの設定ファイルなどが残されており、韓国の金融機関を標的にした活動との関連が読み取れたという。
利用記録には、攻撃成果を実績として盛り込んだ「セキュリティ研究者の履歴書」をClaudeに作成させた依頼も含まれていた。依頼文には、攻撃者のものとみられるイニシャル、Telegramのユーザー名、学歴、居住地などが入力されており、本人は中国広東省茂名市在住の26歳と説明していたとされる。学歴として華南理工大学が記載されていたという。
一方、依頼文には2007年9月生まれとする情報も一度入力されており、26歳という記載と矛盾している。CrowdStrikeはこれらの情報が攻撃者本人に属する可能性が高いとみているが、身元と攻撃への関与を確定したわけではない。攻撃による各金融機関の具体的な被害範囲や、情報流出の詳細は現時点で不明だ。
影響と背景
今回の攻撃では、金融機関を狙う侵入活動に中国で開発されたARTEXとAIツールが使われた痕跡が確認された。AIは調査やコード作成だけでなく、攻撃成果を整理した履歴書の作成にも利用されていたとみられる。
また、攻撃者の個人情報は、Claude Codeの利用記録やサーバ上に残された設定ファイルなどのデジタル痕跡から浮上した。CrowdStrikeは、履歴書に記載されたTelegramのユーザー名が、中国の決済プラットフォームとみられる対象への活動や、Telegramを利用したNFTギフト市場の脆弱性調査に関連する記録にも現れていたとしている。
対策・今後の展望
金融機関は、外部公開サーバや認証基盤、委託先との接続を含む攻撃経路を継続的に監視し、侵入の兆候を早期に検知できる体制を整える必要がある。AIツールやオープンソースの侵入テストツールが攻撃に悪用される可能性を踏まえ、利用状況や不審な自動化処理も監視対象に含めるべきだ。
今回のように、履歴書やプロフィールなどの文書が攻撃者の手掛かりになる場合がある。ただし、文書に記載された年齢、出生年月日、学歴、居住地などには矛盾や虚偽が含まれる可能性があるため、単一の情報だけで人物や関与を断定せず、ログ、通信履歴、アカウント情報、サーバの痕跡など複数の証拠を突き合わせて確認する必要がある。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業のMDR運用では、取引先や応募者を装う連絡から始まる不審な動きが目立ちます。実際の診断では、社外からの連絡を受ける窓口メールが多要素認証未導入のまま放置されている例が多く、入口として狙われやすい状況です。
【平易な解説】例えるなら、きれいに整った履歴書や自己紹介文は「見た目が本物らしい名刺」のようなものです。文章が自然でも本人確認とは別問題で、生成AIを使えば誰でもそれらしく見せられるため、書類だけで信用してはいけません。
【今週中にできること】まず、採用や外注の窓口メールとその転送設定を確認し、想定外の転送先がないか点検してください。次に、応募・提案が来た際は、メールだけで完結させず、公式サイトに掲載された電話番号など別経路で本人確認する手順を担当者に共有します。最後に、重要な書類は受領後に提出元へ折り返し確認し、添付ファイルや記載内容に不審な点があれば、開封・実行前に社内で確認する運用を徹底しましょう。