大信証券で顧客3万8490人の個人・信用情報が流出した事実が明らかになったのに続き、ミレアセット資産運用と仮想資産取引所ビッサムでも外部侵入が相次ぎ、金融界のセキュリティ不安が広がっている。中核の取引システムではなく、外部連携サーバーや業務用システムまでが標的になっていることから、金融会社全般のセキュリティ管理水準を引き上げるべきだとの声が高まっている。
28日、金融投資業界によると、大信証券は17日、投資一任の非対面証券口座開設と連携したサーバーで、異常な外部アクセスの兆候を検知した。会社は攻撃に使われたインターネットアドレス(IP)などを遮断して関係当局に届け出た後、金融保安院とともに、正常な要求を装った信号6万件余りを調べ、26日に顧客情報が流出したことを確認した。
流出した情報は、顧客名・メール・住所・通信ID・銀行名・入出金口座番号・大信証券総合口座番号・携帯電話番号など8項目である。このうち口座番号や携帯電話番号をはじめとする一部は暗号化されていた。大信証券は、中核の業務システムが不正に突破されたり二次被害が生じたりした形跡は、これまでに見つかっていないと説明した。
ミレアセット資産運用も最近、一部のウェブシステムに外部IPが異常にアクセスして情報が流出したことを把握した。会社はただちにアクセス経路を断ち、金融当局に届け出たうえで、ウェブアプリケーションファイアウォール(WAF)による遮断や脆弱な機能の停止などに乗り出した。これまでに判明した流出は一般の業務用システムに関する情報で、サーバー・データベースへの直接侵入の痕跡は出ていない。住民登録番号のような固有識別情報や機微情報、個人信用情報が流出した形跡もないという。会社は、外部のセキュリティ専門機関とともに事故の原因と影響範囲を調べている。
ビッサムは27日、社内モバイルグループウェアに許可されていない外部アクセスが行われ、個人情報が流出したことに気づいた。ビッサムは関係機関に届け出て、流出の規模・範囲を確認しており、取引所の会員情報が含まれるかどうかはまだ明らかになっていない。
金融当局も、相次ぐ事故に警戒感を示した。イ・チャンジン金融監督院長は同日、8大銀行持株会社の取締役会議長らと会った懇談会で「昨日は、ある主要な金融投資会社で全般的にハッキング事故が発生したと承知している」と述べた。最近の金融会社の侵害事故については「サイバー攻撃の手口が日々高度化する中、攻撃対象が非中核施設に拡大するなど、全方位的な様相を見せている」と評価した。
イ院長は、AI(人工知能)を利用したハッキングでセキュリティ上の弱点を見つけ出し、複数の場所を同時に攻撃することが日常化しうると警告した。そのうえで、金融会社が自ら脆弱性を発掘して取り除く自律防御体制を整えなければならないとした。
同氏は「ITセキュリティを付随的な業務と見なして規制要求事項だけを形式的に順守したり、ITセキュリティ投資を『コスト』と認識して十分な人員と資源を投入しなかったりする行為が、もはや繰り返されてはならない」と強調した。続けて、ITセキュリティは顧客の財産・情報の保護と金融への信頼を支える中核業務であるだけに、取締役会がセキュリティ能力を高めることに先頭に立ってほしいと要請した。
金融界では、流出した個人情報による二次被害を心配する声も高い。当面は金銭的被害が表れていなくても、流出した情報が金融会社を装ったフィッシングなどに利用されうるため、被害範囲を早く把握し、顧客保護措置を急ぐべきだということである。