9カ月間の攻撃が2025年の年間総数を上回る
韓国銀行と国策銀行3行は、2026年1月から9月までに1,024,478件のハッキングの試みを記録した。2025年の通年で検知した934,858件を89,620件、率にして9.6％上回った。これらの試みによる侵入成功は報告されていない一方、別の商業銀行への攻撃では顧客情報が流出した。
目次
国民の力のカン・ミングク議員に提出され、10月11日に公表された資料によると、2020年から2026年9月までの累計は4,986,964件だった。このうち中小企業銀行（IBK）が91.9％を占めた。個人・法人向けのインターネットバンキングやモバイルバンキングを幅広く提供していることが反映された。
この数字を理解するうえで重要なのは、攻撃の試みと確認済みの侵害を区別することだ。試みが検知されたからといって、攻撃者がシステムに侵入した、あるいは情報を盗んだことを意味するわけではない。逆に、このデータで侵入成功が確認されていないからといって、関連サービスや外部委託先がすべて障害や情報流出を免れたわけでもない。
別の事案がこの違いを示している。2026年5～6月には、外部の研修事業者への侵入により韓国銀行職員186人の情報が流出した。商業銀行でも顧客情報の流出が公表され、規制当局はインターネットからアクセス可能なシステムの点検、認証とアクセス制御の強化、攻撃手法や不審なIPアドレスの共有拡大を指示した。
懸念は攻撃件数だけにとどまらない。国会に提出された資料からは、セキュリティ予算が使い切られていないこと、国策銀行間で人員体制にばらつきがあること、脆弱性の探索を加速させる可能性のある人工知能（AI）ツールによる脅威が台頭していることも明らかになった。
検知された攻撃はどのくらいの速さで増えているのか
年ごとの数字は、2020年以降、増加が続いていることを示している。2026年9月までの件数は、2020年の通年で記録した358,800件の約2.86倍に達した。直近の集計期間が通年ではなく9カ月間であることを踏まえると、増加は際立っている。
また、この増加が直近の商業銀行への攻撃で始まったわけではないことも、推移から分かる。
- 2020年：4機関で358,800件。
- 2021年：564,430件。
- 2022年：585,563件。
- 2023年：738,312件。
- 2024年：780,524件。
- 2025年：934,858件。韓国銀行の京畿ITセンターが10月に開設。
- 2026年1～9月：1,024,478件。
- 2026年10月11日：カン議員を通じて最新の数字が公表された。
検知された攻撃の試みは、セキュリティシステムが捉えた活動量を示すもので、攻撃者の実人数や侵害の成功件数を表すものではない。自動化されたリクエストが繰り返されれば、多数の検知につながる。IBKの説明からは、外部ユーザーに公開しているサービスの規模も、機関間の比較に影響することがうかがえる。
公表された合計には小さな不整合がある。年ごとの数字を足すと4,986,965件となり、記載された累計4,986,964件を1件上回る。この差は、報告された傾向やIBKに攻撃が集中していることを変えるものではない。
攻撃の大半をIBKが占める理由
累計期間中、IBKは約458万4,000件の攻撃の試みを記録した。次いで韓国産業銀行（KDB）が399,379件、韓国銀行が3,076件、韓国輸出入銀行が510件だった。
IBKは、商業銀行に匹敵する規模のインターネット・モバイルサービスを提供していることが、件数の大きな差につながったと説明した。個人と法人の双方にサービスを提供しており、インターネットからアクセス可能なシステムに不正な通信が届く機会が多い。
この数字だけで、IBKの防御体制が他機関より脆弱だとは言えない。同行の説明はサービスの規模と検知された攻撃件数に関するものであり、4機関はいずれも累計データの対象となった攻撃による侵害はなかったと報告している。
主要なコンピューティングサーバーを置く韓国銀行の京畿ITセンターでは、2025年10月の開設後に145件の攻撃があった。この数字は特定施設に関するもので、中央銀行が複数年にわたり複数のシステムで記録した総数とは同列に扱えない。
記録された攻撃で最も多いのはサービス妨害
累計では、サービス妨害攻撃が2,275,006件で、全体の45.6％を占めた。こうした攻撃は、リクエストを大量に送りつけたり、正規ユーザーへのサービス提供に必要なコンピューター資源を消費させたりして、サービスを利用できなくすることを狙う。
次いで多かったのは、情報収集が866,776件、マルウェアが475,026件、不正アクセスが456,783件だった。情報収集には、ソフトウェアや外部に公開された機能、脆弱性を特定するためのシステム探索などが含まれる。マルウェアは悪意のあるソフトウェアで、不正アクセスは正当な権限なくシステムへの侵入を試みる行為だ。
この4分類の合計は4,073,591件となるため、累計件数のすべてを網羅してはいない。残る分類の内訳は明らかにされていない。
サービス妨害が目立つことは、攻撃の影響が情報窃取に限られない理由を示している。攻撃者が内部システムを掌握しなくても、銀行のウェブサイトや取引サービスが使いにくくなる可能性がある。
数字を公表した国民の力のカン・ミングク議員は、公的・企業金融を扱う機関にとってのリスクを次のように述べた。
「国策銀行への攻撃は国内外の金融システムを混乱させ、政府や企業の機密情報を危険にさらしかねない。AIを活用したサイバー攻撃の急増に備えた防御体制を構築し、金融当局と連携してサイバー攻撃のシミュレーションを実施すべきだ」とカン氏は述べた。
侵害の報告はないが、完全な安全を意味するわけではない
4機関は、2020年から2026年9月までに集計された攻撃の試みによる侵害はなかったとしている。一方、別の公表資料では、過去のサービス障害や韓国銀行の委託先に関係する情報流出が明らかになっている。
2023年12月には分散型サービス妨害攻撃により、韓国銀行のウェブサイトへのアクセスが断続的に遅くなった。2026年5～6月には、外部の研修事業者のシステムへの侵入で、韓国銀行職員186人の個人情報が流出した。これらの事案は、サービス障害、銀行自身のシステムへの侵入、委託先での情報流出を区別する必要性を示している。
別の発表によると、韓国銀行は2026年10月2日までに136件の攻撃を記録し、2025年通年の30件を上回った。インターネットからアクセス可能な標的には、同行の公式サイト、経済統計ポータル、電子図書館が含まれる。韓国銀行は、9月初めから10月2日までに侵入の成功、サービス障害、情報流出は確認されなかったとしている。
韓国輸出入銀行は別途、10月5日までに283件の攻撃があり、2025年通年の36件を上回ったと報告した。そのうち272件は海外のIPアドレスからだった。IPアドレスの所在地は通信の発信元と見られる場所を示すもので、攻撃者の国籍や実際の所在地を必ずしも示すわけではない。
同じ発表では、直近5年間に検知した攻撃は197件とされている。これに最新の283件を加えると480件となり、より広い期間を対象とする累計の510件とは一致しない。集計期間や方法の違いが原因の可能性はあるが、これらの公表資料では差異の説明はない。
AI攻撃への警告で実際に明らかになったこと
金融保安院は9月17日、約160人のセキュリティ担当者を対象に金融AIセキュリティセミナーを開催した。社会民主党のハン・チャンミン議員が入手した資料によると、セミナーでは韓国の金融分野で初めてAIエージェントが関与した攻撃事例が紹介された。
AIエージェントとは、単に質問に答えるのではなく、AIモデルを使って一連の作業を実行できるソフトウェアだ。セミナーで紹介された事例では、攻撃者がDeepSeekを基盤とするエージェントに、金融サーバーのプログラムを探すよう指示した。
報告によると、エージェントは1日以内に脆弱性を見つけて悪用し、遠隔操作を可能にするソフトウェアをインストールしたうえで、内部サーバーを探索した。標的となった金融会社は、さらなるマルウェアのインストールを阻止した。会社名は公表されていない。
金融保安院は、インターネットに公開されたシステムを継続的に監視するよう促した。年に1～2回の点検では、この種の活動を見逃す可能性があると警告した。また、評価対象の範囲に課題があるとも指摘した。ウェブサイトやアプリがデータをやり取りする接続口であるアプリケーション・プログラミング・インターフェース（API）は脆弱性の点検対象だが、どのシステムを調べるかは金融会社が選んでいる。
その後に発生した商業銀行の事案については、AIツールとの関連を指摘する報道がある。ただし当局は、攻撃の一部が自動化されていたかなど、AIの関与を調査中だった。李在明大統領はAIが関与したとみられると述べたが、具体的な手法は明らかになっていなかった。セミナーの事例が示すのは報告された攻撃能力であり、直近の侵害すべてに同じ手法が使われた証拠ではない。
商業銀行の顧客では情報流出を確認
一連の最近のハッキング事案では、金融機関7社の名前が挙がっている。新韓銀行、KB国民銀行、ハナ銀行、BNK釜山銀行、イェガラム貯蓄銀行、ウェルカム貯蓄銀行、現代キャピタルだ。
新韓銀行は、融資関連サービスで外部の不正な第三者が認証を回避し、約25,000人の顧客に関する個人情報や信用情報を取得したと公表した。流出した情報には、氏名、電話番号、年収、算定された借入限度額が含まれていた。
新韓銀行のチョン・サンヒョク最高経営責任者（CEO）は謝罪し、事案に関連する損失を全額補償すると表明した。ソウルの法律事務所は、参加者1人当たり10万～30万ウォンの損害賠償を求める訴訟に向け、被害を受けた顧客を募っていた。提訴日は発表されていない。
KB国民銀行では、モバイル業務支援システムへの攻撃により119人の顧客情報が漏えいした。KB国民、ハナ、現代キャピタル、ウェルカム貯蓄銀行の関係者は9月のセキュリティセミナーに出席していた。新韓銀行からは金融グループの担当者が参加し、BNK釜山銀行は出席者に含まれていなかった。
出席記録からは、被害を受けた複数の機関が、事案の発生直前に警告を受けていたことが分かる。ただし、各侵入を可能にした具体的な不備や、特定の予防措置を講じていれば防げたかどうかは明らかにならない。
セキュリティ予算の計上額と実際の支出は異なる
金融当局が国民の力のパク・ソンフン議員に提出したデータによると、IT障害の頻度が高い金融会社20社は2025年、情報セキュリティ予算として4,380億ウォンを計上したが、実際の支出は3,050億ウォンだった。執行率は約69.6％で、1,330億ウォンが未執行となった。
新韓銀行は約453億ウォンを計上し、317億ウォンを支出した。執行率は69.9％と報告された。2026年の予算は405億ウォンで、前年を約10.6％下回った。KB国民銀行は676億ウォンを計上し、393億ウォンを支出。執行率は58.1％だった。
支出額の資料を入手したパク・ソンフン議員は、投資は社会の信頼に関わる問題だと述べた。
セキュリティ投資の不足は、経営効率の問題として片付けられるものではない。金融システムへの信頼に関わる問題だ
国策銀行が公表した資料からは、リソースにばらつきがあることもうかがえる。KDBのセキュリティ担当職員数は2024年末の23人から2025年末には19人に減った後、2026年6月までに22人へ回復した。IBKの専任セキュリティ担当者は2025年末時点で46人、韓国輸出入銀行は9人だった。
IBKの別の人員指標では、社内と外部委託を合わせて72.5人とされ、その内訳は社内53.5人、外部委託19人だった。この広い指標は、専任担当者46人という数字と同一視すべきではない。IBKの2025年のセキュリティ投資は661億ウォンで、IT投資総額の15.1％だった。
KDBの予算額には、より大きな報告上の食い違いがある。韓国語の資料では、2026年上半期時点のセキュリティ予算は172億3,100万ウォンで、2025年の176億1,100万ウォンから減少したとされる。一方、英語の要約ではそれぞれ1,723億1,000万ウォン、1,761億1,000万ウォンと、10倍の額が記載されている。いずれも減少率は2.2％としている。
投資計画と広がる委託先の問題
KB国民銀行は、2027年の情報セキュリティ予算を1,000億ウォン超とすることを検討しており、侵入検知・防御システムやウェブファイアウォールの更新も計画している。これは予算規模に関する提案であり、1,000億ウォンの増額が確定したという意味ではない。
新韓銀行はセキュリティ投資を追加し、AIセキュリティ専門家やホワイトハッカーを採用する計画だ。ハナ銀行は、ユーザーや端末が社内ネットワークにあるというだけで自動的に信頼せず、アクセスのたびに確認するゼロトラスト・アーキテクチャを検討している。ウリ銀行は予算を20％超増やし、専門人材を10％超増員することを検討している。
国策銀行の関係者は、攻撃者の視点で侵入テストを行っており、今後も投資と点検の強化を続けると述べた。これらの施策の具体的な実施期限は発表されていない。
銀行業界以外の事案からは、委託先や保管データが生むリスクも明らかになっている。公共部門の倫理研修プラットフォームでは、2025年4月に置き換えられた旧システムから、10万人を超える利用者の情報が流出した。移行後、委託先が旧データを削除せず保管していた。残っていたデータはその後削除された。
オアシス・セキュリティは、ヨイド純福音教会とサラン教会でも情報流出の疑いがあると報告した。ヨイド純福音教会に関するデータには、会員記録約96万件、献金記録約33万件が含まれていた。これらの記録件数から、被害を受けた個人の人数は特定できない。両教会は調査を進めていた。
なお解明されていない点
主な未解明点は、最近の商業銀行への攻撃で侵入がどのように行われたのか、AIがどの程度関与したのか、そして計画中の投資が実際のセキュリティ対策につながるのかだ。金融機関7社すべてに共通する技術的な説明は確認されていない。
銀行の数字も慎重に解釈する必要がある。報告期間や機関ごとの概数、人員の集計方法が異なるため、単純な比較には限界がある。公的機関4機関で侵害が報告されていないことには意味があるが、ウェブサイトの障害や委託先での情報流出という別の証拠がなくなるわけではない。
規制当局は金融会社に対し、外部からアクセス可能なシステムの点検、認証や権限管理の強化、脅威情報の共有を指示した。カン議員は模擬攻撃や連携訓練を呼びかけている。今後の実効性を測るうえでは、機密情報にアクセスし得る実際のサービスや接続口、委託先が、こうした対策の対象に含まれるかが問われる。
要点
- 韓国銀行と国策銀行3行は、2026年9月までに1,024,478件のハッキングの試みを記録した。2025年通年を9.6％上回る。
- 2020年以降の累計件数の91.9％をIBKが占めた。
- 攻撃の分類で最も多かったのはサービス妨害で、2,275,006件だった。
- 4機関は集計対象の攻撃による侵害はなかったと報告した一方、別の事案ではサービス障害や中央銀行の研修委託先での情報流出が起きた。
- 最近の商業銀行の事案では、新韓銀行の顧客約25,000人、KB国民銀行の顧客119人の情報が流出した。
- 最近の攻撃でAIがどのように使われたか、当局は調査を続けていた。
- 金融会社20社は2025年、セキュリティ予算4,380億ウォンのうち3,050億ウォンを支出した。
- 複数の銀行が投資拡大を計画または検討しているが、確定した実施時期は発表されていない。
