「全金融業界を全面点検」から1年で金融機関16社が破られ10万件流出…当局の対策はまた同じ言葉

ソウル

金融当局がロッテカードの情報流出後に「全金融業界の金融セキュリティー・情報保護の全面点検」を掲げてから1年余りで、銀行4行を含む金融機関16社がハッキングされ、約10万件の個人情報が流出した。金融委員会は14日午後3時、政府ソウル庁舎でシン・ジンチャン事務局長の主宰により「第2次緊急状況対応会議」を開いて被害規模を公表し、全金融業界555社の自主点検で130社が最新セキュリティーパッチの未適用、24時間監視体制の未構築などの不備事項を報告したと明らかにした。金融委はこの日、再び全数点検と最高経営責任者(CEO)の責任強化を対策として打ち出したが、点検の範囲と日程は「金融業界と協議」して決めるとした。1年前のロッテカード事故の際、金融委は「全額補償などロッテカードの消費者保護措置」を管理・監督するとしていたが、14日の対策資料には「補償」という言葉が出てこない。

「全金融業界の全面点検」の約束から1年余りで16社が破られる

金融委は2025年9月18日、クォン・デヨン副委員長の主宰でロッテカード情報流出に関する緊急対策会議を開いた。金融委はこの日、「全金融業界の金融セキュリティー・情報保護の全面点検および根本的な制度改善」を課題に掲げ、「金融業界のセキュリティー管理態勢の緊急点検、電算セキュリティー関連の根本的な制度改善にも直ちに着手する」と明らかにした。クォン副委員長は金融機関に「CEOの責任の下で電算システムおよび情報保護体制全般を全面的に再点検していただき」と求め、「セキュリティー投資をコストや余計な業務と認識する安易な態度が深刻な事態を招きかねないだけに」と警告した。金融委は「重大なセキュリティー事故の発生時には一般的な課徴金の水準を超える懲罰的課徴金を導入」するとした。

1カ月後の2025年10月22日には、科学技術情報通信省が関係省庁とともに「省庁横断情報保護総合対策」を発表した。ペ・ギョンフン副首相兼科学技術情報通信相がブリーフィングを行い、シン・ジンチャン金融委事務局長も同席した。政府は「公共・金融・通信など国民の大多数が利用する1600余りのITシステムについて大々的なセキュリティー脆弱性点検を直ちに推進する」とした。「CEOの責任とCISOの役割強化」「懲罰的課徴金の導入」も対策に盛り込まれた。

それから1年もたたない2026年9月30日、金融当局は新韓銀行の侵害事故の届け出を受けた。10月2日の金融委の資料には「国民銀行など主要金融機関へのサイバー攻撃で追加の被害が発生」したと記された。14日に金融委が公表した被害企業は、銀行4行(新韓・国民・釜山・ハナ)、貯蓄銀行4社(イェガラム・ウェルカム・DB・OK)、与信専門金融会社2社(現代キャピタル・産銀キャピタル)、オンライン投資連携金融業者2社(PFCT・モウダ)、電子金融業者1社(ブライトピクス)、暗号資産事業者2社(ストリーミ・プラバン)、相互金融1社(セマウル金庫中央会)だ。7業態16社に上る。金融委は「情報流出の規模は約10万件(氏名、連絡先、住民登録番号、メールアドレスなど)の水準と把握され」と明らかにし、調査の過程で被害企業がさらに増える可能性があるとした。

新韓銀行の事故の届け出後2週間、当局の資料に載る被害企業は増え続けた。10月2日の資料に実名で出たのは新韓銀行と国民銀行で、4日の金融委員長主宰の会議資料は侵害を届け出た主要金融機関を名前を伏せて7社と記した。14日の資料で16社になった。

金融機関130社はセキュリティーパッチ・24時間監視といった基本から欠落

今回の事態後に金融当局が最初に打ち出した点検は、金融監督院の現場検査ではなく金融機関の自主点検だった。当局は10月2日の会議を機に12項目のチェックリストを配布し、10月8日までに555社が結果を提出した。金融委は「点検の結果、計425社は『適正』と提出し、130社は不備事項があることを報告した」と明らかにした。点検対象の23.4%だ。

不備事項は「最新セキュリティーパッチの未適用」「メーカーの技術サポート終了(EOS : End of Support)システムの管理不備」「リアルタイム(24時間)監視体制の未構築」「攻撃対象領域の管理不備」だった。攻撃対象領域の管理不備の例として、金融委は「対外システムを対象とした認証・認可の欠落、重要サービスに対する強化された認証手続き(MFA)の未導入」を挙げた。金融委は「相対的にセキュリティー能力が弱い電子金融業・オンライン投資連携金融業の部門で比較的多くの不備事項が見つかった」とした。

セキュリティーパッチの問題は、金融委が5カ月前に自ら指摘した課題だった。金融委は2026年5月22日に「高性能AI関連の金融業界セキュリティー脅威対応懇談会」を開き、6月中にAIセキュリティーガイドラインを策定すると明らかにした。ガイドラインには「電算資源の分類基準、▲プログラムのパッチ優先順位など実務基準」を盛り込むとした。中小金融機関などは当時「急を要するセキュリティーパッチから適用できるよう優先順位を示してほしい」と要望した。5カ月後の自主点検で、「最新セキュリティーパッチの未適用」が主な不備事項の筆頭に挙がった。

金融委は「何度も求めた」として金融機関の基本の不遵守を指摘

金融当局は事故直後から対応に乗り出したと説明した。金融委によると、金融監督院と金融保安院は9月30日、新韓銀行の事故の届け出を受けた当日に現場調査に入り、現在も侵害経路と攻撃手法を調べている。当局は攻撃者のIPを全金融業界に共有し、10月2日と14日の事務局長主宰の会議、4日のイ・オグォン金融委員長主宰の金融委・金融監督院合同「全金融業界緊急点検会議」を相次いで開いた。14日の会議には科学技術情報通信省、行政安全省、個人情報保護委員会、警察庁、韓国インターネット振興院(KISA)も出席した。

シン事務局長は14日、「これまでロッテカードの情報流出、ミトス・ショックなどさまざまな契機に何度にもわたって全数点検と管理強化を求めたにもかかわらず、金融機関で基本的な部分が十分に守られていない事例が見つかったことは非常に痛いところだ」と指摘した。シン事務局長は「金融分野は何よりも信頼と安全が重要であるだけに、セキュリティー事故予防のための徹底したセキュリティー管理が不可欠だ」と述べた。イ・オグォン委員長は4日、「全金融業界は今回の事態を機に、非常な覚悟と最高水準の警戒心を持って情報セキュリティー体制全般を原点から再点検し、セキュリティー水準を一段引き上げなければならない」と述べた。

金融委は攻撃の経路として、「最近の侵害事故の原因となった貸出募集人・委託業者など外部人員」が使うシステムを名指しした。金融委は「消費者へのサービス提供・業務遂行に必要不可欠な場合を除く外部アクセスは原則としてすべて遮断」するよう指示し、攻撃情報を共有したにもかかわらず「類似の侵害事故が発生する場合には関連法令に基づき厳正に対応していく予定」だと明らかにした。

シン事務局長の発言どおりなら、当局はロッテカードの事故とミトス・ショックの際に全数点検を繰り返し求めた。それでも2026年10月の自主点検で、555社のうち130社がパッチや監視といった基本項目を備えていないと自ら報告した。点検の方式も変わった。2025年9月、金融委は「全カード会社のセキュリティー実態に対する金融監督院の点検を直ちに開始」するとしたが、2026年10月の事態後最初の全金融業界点検は、金融機関がチェックリストを埋めて提出する自主点検だった。

1年前の対策と14日の対策は「CEO責任・全数点検・制度改善」がそのまま重なる

金融委が14日に打ち出した4分野の対策は、1年前の文言と大きく重なる。第1の項目は全面的なセキュリティー点検だ。金融機関は「電算システムが外部とつながるすべての接点をリスト化・最新化」しなければならず、当局は「CEO・CISO・CIOなどの報告体制・責任範囲なども明確にするよう」指導・監督するとした。2025年9月に金融委が求めたのは「CEOの責任の下で」情報保護体制全般を「全面的に再点検」することであり、同年10月の省庁横断対策には「CEOの責任とCISOの役割強化」が入っていた。

制裁強化も繰り返された。金融委は14日、「CEOの責任強化および制裁の実効性向上などのためのさまざまな制度改善策も早期に推進する計画」だと明らかにした。2025年9月には「懲罰的課徴金」を、10月の省庁横断対策では「過料・課徴金の引き上げ、履行強制金および懲罰的課徴金の導入」を約束した。1年たって同じ事項が再び「推進する計画」として上がってきた。21日に金融委が議決した新たな課徴金基準でも、信用情報法上の法定賦課上限額は原則として売上高全体の3%と記されている。

2025年10月の省庁横断対策は、金融を含む「1600余りのITシステム」のセキュリティー脆弱性点検を「直ちに推進する」とした。1年後の2026年10月14日、金融委は再び全数点検を持ち出し、「具体的な点検範囲と日程」は金融業界と協議して「速やかに確定」するとした。

新対策は期限なく「早期に」「検討」のまま

14日の報道資料で日付が入った日程は、すでに終わったチェックリスト点検の締め切り(10月8日)一つだけだ。今後やるべきことにはすべて期限がない。

脅威の早期探知の分野では、AI脅威レベル情報体制は「早期に整備していく計画」で、AI基盤の脆弱性点検インフラは「構築も推進する」とした。常時監督の分野では、現在年1回(外部ホームページは年2回)の金融機関の脆弱性点検・評価を大手に限って「年2回以上に拡大」する案を推進し、当局が随時点検する根拠は「検討・推進する予定」だとした。中小金融機関支援の分野では、金融保安院が業態別の協会・中央会とともにAI基盤の共同セキュリティー監視システムの構築を「検討」する。電子金融取引法の適用対象ではない貸金業と保険の法人保険代理店(GA)については、セキュリティー強化策を「早期に検討・推進」するとした。

10月2日の最初の会議でも、金融委は自主点検の結果を「早期に提出・報告させる予定」とするだけだった。点検は8日に終わり、14日までに確認された被害企業は16社に増えた。

5月には網分離緩和・パッチ障害の免責、21日には軽微な違反の課徴金引き下げを打ち出す

ハッキング対応と並行して、当局は規制を緩める方向の措置も続けてきた。5月22日の懇談会で金融委は「セキュリティー目的のAI活用について網分離規制の緩和を速やかに推進する」とし、総資産10兆ウォン以上・常時従業員1,000人以上の金融機関49社が申請すれば1年間限定で規制を緩めることにした。高度な能力を備えた金融機関については「網分離規制を全面解除する案も検討・推進する計画」だとした。セキュリティーパッチの過程で生じた軽微な電算障害には「迅速な復旧および消費者保護措置を前提に制裁の減軽・免責も推進」するとした。クォン・デヨン副委員長は当時、「高性能AIのセキュリティー脅威は風邪のウイルスのようなもので、完全に遮断できる対象ではなく、共に生きながら管理すべき脅威だ」と述べた。シン事務局長は14日にも「網分離規制の緩和など制度改善もより綿密かつスピード感をもって推進していく」と述べた。

21日の第18回定例会議で議決された「信用情報業監督規定」改正案は23日に施行される。50%、75%、100%の3段階だった賦課基準率は、弱い違反1~30%、重大な違反30~65%、非常に重大な違反65~100%の連続した区間に変わった。金融委が挙げた例は、売上高7兆ウォン、当期純利益7,000億ウォンの仮想の金融機関だ。重大性点数1.2点の「重大性が弱い違反」の基本課徴金は、従来の1,050億ウォン(基準率50%)から210億ウォン(基準率10%)へと5分の1になる。重大性点数2.5点の事例は、新基準で75%の基準率により1,575億ウォンを算定した後、25%の加重分525億ウォンを加え、従来と同じ2,100億ウォンになる。

金融委は、3年以内に同じ違反を繰り返したり、1千万人以上が被害を受ける大規模流出は基本課徴金の100%まで加重できるようにしたと説明した。自主的な個人信用情報保護の強化と迅速な消費者保護対策の履行は減軽事由として広がった。今回の16社・約10万件の流出は、1千万人の加重基準に大きく届かない。経過措置は行政基本法第14条に従い、改正前の違反には違反当時の規定を適用するが、改正規定の方が有利であれば改正規定を適用できる。金融委は課徴金基準を透明に公開して予測可能性を高めたと説明した。

被害補償の文言は「全額補償の管理・監督」から「最善を尽くす必要」へ後退

2025年9月のロッテカード事故の際、金融委の資料には「侵害事故による不正使用発生時の全額先行補償」がロッテカードの措置として載り、金融委は「関連被害発生時の全額補償などロッテカードの消費者保護措置」を「綿密に管理・監督」するとした。同年10月の省庁横断対策は「企業のセキュリティー上の不注意でハッキングが発生すれば消費者の立証責任の負担を緩和」し、課徴金収入を被害者支援に充てる「基金の新設を検討する」と明らかにした。

今回の事態で補償の文言は一段弱まった。10月4日の会議資料は、侵害事故が起きた金融機関について「消費者被害が確認された場合には消費者に詳細な情報を通知し、被害救済・補償などが迅速かつ支障なく行われるよう最善を尽くす必要がある」と記した。16社・約10万件の被害を公表した14日の対策資料には、「補償」と「被害救済」という単語が一度も出てこない。

当局は二次被害の遮断に重きを置いた。6日に消費者警報2026-26号を「注意」等級で発令し、6日から1カ月を「個人情報流出二次被害特別対応期間」に定めた。金融機関には専用相談窓口と不正取引検知システム(FDS)の強化を指示した。当局は「現在まで今回の金融機関の個人情報流出事故に関連してボイスフィッシングなどの被害で顧客資金が流出した事例は確認されていません」と明らかにした。流出した情報には住民登録番号が含まれているが、パスワードとワンタイムパスワード(OTP)は流出していないというのが当局の説明だ。

当局が被害予防手段として案内したのは、大半が消費者自ら申請しなければならないサービスだ。与信取引・非対面口座開設・オープンバンキングの安心遮断は8月末時点で約700万人(重複加入あり)が加入しており、金融監督院のファイン(fine.fss.or.kr)の個人情報露出者事故予防システムも本人が登録しなければならない。金融業界の詐欺疑い情報共有プラットフォームASAPは、2025年10月の発足から2026年8月までに疑い口座7,666個の支払いを停止し、約699億4千万ウォンの被害を防いだと当局は明らかにした。

出典(KST)

• 金融委員会 · 2026-10-14 · 금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다. 금융위 사무처장 주재, 「제2차 긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87927
• 金融委員会 · 2026-10-06 · 全금융권이 비상한 경각심을 갖고 침해위협에 대응해 나가겠습니다. - 금융위원장 주재 금융위·금감원 합동 「全금융권 긴급 점검회의」 개최 · https://www.fsc.go.kr/no010101/87876
• 金融委員会 · 2026-10-06 · 최근 금융권 개인정보 유출사고에 따른 보이스피싱·스미싱 등 피해에 주의하세요. · https://www.fsc.go.kr/no010101/87882
• 金融委員会 · 2026-10-02 · 최근 발생하는 금융권 침해위협에 면밀히 대응해 나가겠습니다. - 금융위원회 사무처장 주재 「긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87869
• 金融委員会 · 2026-10-21 · 신용정보법 과징금 부과의 예측 가능성을 한층 높였습니다. - ｢신용정보업감독규정｣ 개정안 제18차 정례 금융위원회 의결 · https://www.fsc.go.kr/no010101/87973
• 金融委員会 · 2026-05-26 · 금융권 AI 전환 본격화! 금융분야 망분리 규제를 완화하여 혁신은 넓게, 보안은 더 단단하게 하겠습니다. - ｢고성능 AI 관련 금융권 보안위협 대응 간담회｣ 실시 · https://www.fsc.go.kr/no010101/86972
• 大韓民国政策ブリーフィング(科学技術情報通信省など関係省庁) · 2025-10-22 · 범부처 정보보호 대책 발표…해킹 정황 시 기업 신고 없어도 조사 · https://www.korea.kr/news/policyNewsView.do?newsId=148952831
• 金融委員会 · 2025-09-18 · 롯데카드 정보유출 관련 긴급 대책회의 개최 · https://www.fsc.go.kr/no010101/85319