韓国金融安全院（FSI）は、国内金融セクターの安全を守る機関として、数十社の金融企業の従業員約300件の個人記録が漏洩したサイバー侵入を確認しました。侵害は2026年11月9日月曜日に発覚し、同院は直ちに該当システムを停止し、規制当局と影響を受けた企業へ通知しました。

攻撃者がアクセスを得た方法

crypto.news と Cryptopolitan の報道によると、攻撃者は金融監督院（FSS）の職員を装い、SMSベースの二要素認証が利用できない場合に使用される一時的なアクセスページを悪用しました。この代替ログイン経路により、通常の認証手順を回避し、偽のFSSアカウントが規制当局レベルの権限を取得して複数機関の文書を閲覧できるようになりました。

漏洩したデータの範囲

侵害されたプラットフォームは Continuous Evaluation Support System（継続評価支援システム）で、金融企業がセキュリティ評価文書を提出するために使用されています。調査官は約200件の管理用フォーム、約300件の氏名・生年月日を含む個人記録、そして約350件のシステムユーザー記録（一部マスクされた識別子）を特定しました。個人データの大半は対象企業のセキュリティレビュー担当者に関するもので、顧客の信用情報や取引情報が漏洩したという報告はありません。

公式の対応と捜査

同院は本件を金融サービス委員会と韓国インターネット・セキュリティ機構に報告し、警察は11月10日に使用されたIPアドレス等の技術情報を受領しました。規制当局は11月11日にFSIのセキュリティ体制に対する現地検査を開始し、偽アカウントが規制当局レベルのアクセス権を取得した経緯を調査しています。同院は認証手順の見直しと、漏洩によって被害を受けた個人への補償を約束しました。

今後の注目点

当局は漏洩した認証情報の出所と、今回の侵害が韓国金融セクター全体のサイバー防御にどの程度の脆弱性を示すかを引き続き調査します。また、今年度別件のセキュリティインシデントを経験した暗号資産取引所（BithumbやGOPAX）からの追加情報にも注目が集まります。

FAQ

FSI侵害で標的となったシステムは何ですか？

攻撃者がアクセスしたのは Continuous Evaluation Support System で、金融企業がセキュリティ評価を行うためのオンラインプラットフォームです。

顧客の金融データは漏洩しましたか？

いいえ、報告では顧客の信用情報、取引記録、ネットワーク構成データは漏洩していないとされています。

調査結果はいつ公表されますか？

規制当局は現地検査を実施中で、セキュリティ監査が完了次第結果を公表しますが、具体的な日程は未定です。