韩国上半年网络侵害事件报告数量同比增长近两成，DDoS攻击和勒索软件活动明显升温。与此同时，滥用生成式AI、针对开源生态的供应链攻击也成为新的主要风险。

韩国科学技术信息通信部与韩国互联网振兴院（KISA）30日发布《2026年上半年韩国国内网络威胁动向》报告，披露了上述内容。

报告显示，2026年上半年KISA共受理网络侵害事件报告1236起，较2025年同期的1034起增长19.5%；与2025年下半年创纪录的1349起相比，则减少8.4%。韩国科学技术信息通信部与KISA表示，受去年韩国三大电信运营商安全事件影响，企业报告意识明显提高，推动了去年下半年报告数量快速上升。

DDoS与勒索软件增幅最为突出

从类型来看，DDoS攻击和勒索软件相关事件增长最为显著。

其中，DDoS攻击报告由去年上半年的238起增至今年上半年的373起，同比增长56.7%，在全部网络侵害事件中的占比也由23%升至30.2%。勒索软件相关报告为145起，较去年同期的82起增长76.8%。在201起恶意代码感染报告中，勒索软件占比达到72.1%。

服务器入侵仍是占比最高的事件类型，但报告数量已由去年上半年的531起降至今年上半年的487起，下降8.3%。

韩国科学技术信息通信部与KISA联合境内外15家信息安全企业专家，将上半年主要网络威胁归纳为五类：生成式AI扩散带来的安全风险、开源供应链攻击、国际黑客行动主义团体发起的DDoS攻击、勒索软件“双重勒索”，以及利用API和被盗账号实施的个人信息泄露攻击。

AI Agent扩散推高攻击面，开源供应链攻击持续升级

报告指出，AI在提升漏洞发现、恶意代码分析和代码审查效率的同时，也在降低攻击者开展渗透准备的时间和成本。随着AI Agent（智能体）接入邮箱、代码仓库、云平台和协作工具等外部系统，并具备自主执行任务能力，攻击面进一步扩大。恶意指令注入、权限滥用、敏感信息泄露、调用恶意工具以及错误自动执行，被列为代表性风险。

对此，韩国科学技术信息通信部与KISA建议，对AI服务使用的API Key、Token和服务账号实施集中管理，尽量减少长期有效凭证的使用；同时建立敏感信息过滤和输入输出日志管理机制，并对AI生成代码及自动化处置设置负责人复核流程。

在开源生态方面，攻击者通过窃取开发者账号和访问Token，滥用正常软件及分发体系的情况正在增加。

报告称，攻击者利用信息窃取型恶意代码，盗取GitHub、npm、Python Package Index（PyPI）账号密码、个人访问Token以及云访问密钥等信息，随后滥用正常项目管理权限或持续集成/持续交付（CI/CD）环境分发恶意软件包，并窃取企业信息。一旦单个开发者账号或Token失守，恶意代码就可能沿着构建服务器和生产环境在多家企业间连锁扩散。

报告建议，企业应通过软件成分分析和软件物料清单（SBOM）识别组件及版本信息，为开发者账号启用多因素认证，并引入代码签名和发布审批机制；同时，对开发者终端和构建服务器开展异常行为检测。

国际黑客行动主义团体加大对韩DDoS攻击

随着国际黑客行动主义团体将韩国公共机构和民营企业列为攻击目标，DDoS威胁也在持续扩大。报告称，部分黑客组织会通过即时通信渠道提前预告将韩国企业和机构列为目标，或宣称已实施实际攻击。

这类攻击的主要目的并非窃取信息，而是压低对外服务可用性，并将故障页面发布到社交平台，以制造社会混乱和心理压力。

报告建议，企业应与互联网服务提供商、云服务提供商及KISA建立应急响应流程，并联动内容分发网络、Web应用防火墙和云端DDoS防护服务。中小企业则可使用KISA免费运营的“DDoS网络避难所”，以降低相关损失风险。

与此同时，以提供解密或承诺不公开信息为条件索要赎金的勒索软件攻击，仍在各行业构成持续威胁。随着“勒索软件即服务”（RaaS）和“初始访问经纪人”（IAB）分工模式扩散，即便缺乏专业技术能力的攻击者，也可以通过购买被攻破账号或远程访问权限参与攻击。

韩国科学技术信息通信部与KISA强调，重要数据和业务网络应实施隔离，并通过不可变备份或离线备份方式进行管理，同时定期开展恢复演练。

报告还指出，窃取个人信息的攻击方式，正从入侵数据库服务器逐步扩展至滥用外部API和用户账号。攻击者会利用API认证和权限校验漏洞，或通过自动化方式，对历史泄露账号信息实施批量撞库攻击。

对此，报告建议，企业应按API分别梳理并检查认证与授权体系，启用多因素认证和基于风险的登录机制，同时部署针对异常大规模查询的检测能力。

韩国科学技术信息通信部信息保护网络政策室长Choi Woo-hyeok表示，AI驱动型网络威胁正在加速成为现实，针对云漏洞的智能化攻击也在持续出现。政府将构建以AI为基础的预防与响应体系，并通过前置开展漏洞挖掘，营造让民众安心使用的网络环境。