金融当局は、侵害事故が相次ぐ電子決済代行（PG）事業者を対象に、セキュリティ上の脆弱性と事故対応体制の緊急点検に乗り出した。自社システムへの直接攻撃に加え、セキュリティ水準の低い加盟店を経由した迂回攻撃も視野に入れ、情報漏えい時のカード会社との連携や消費者保護策の強化について議論した。

金融委員会は9月16日、ユ・ヨンジュン・デジタル金融政策官主宰の「フロンティアAI状況対応班」第6回会議を開いたと発表した。会議には、金融監督院、金融保安院、与信金融協会、フィンテック産業協会のほか、カード会社2社、PG会社4社などが出席した。

会議では、足元の金融業界におけるハッキングの動向に加え、PG業界が保有・管理する個人信用情報の現状、主な侵害事故の類型、情報漏えい発生時の対応体制を重点的に点検した。

PG事業者は金融会社と加盟店の間で決済を仲介し、氏名、生年月日、決済情報などの個人信用情報を扱っている。金融当局は、ひとたび事故が起きれば、単なる情報漏えいにとどまらず、カードの不正利用といった直接的な消費者被害につながる可能性があるとみている。

攻撃手法の複雑化も確認された。PG各社のシステムの脆弱性を直接突くだけでなく、比較的セキュリティの弱い加盟店を足掛かりにPGシステムへの侵入を試みる迂回攻撃も増えているという。このため、各社は自社対策に加え、外部接続先を含むリスクを踏まえた検知・対応体制を整える必要があるとの認識を共有した。

会議では、取得・処理する個人情報の最小化も論点となった。カード情報などが漏えいした場合、利用者が気付かないまま二次被害が広がるおそれがあるため、PG各社が扱う情報は必要最小限にとどめ、不要または過剰な情報収集を減らすべきだとの意見が出た。

事故発生後の対応強化策についても検討した。PG各社からカード情報が漏えいした場合には、カード会社と関連情報を迅速に共有し、異常取引検知システム（FDS）へ反映して不正決済の監視を強化する案が示された。あわせて、顧客への案内、カード再発行、消費者被害の全額補償といった事後保護措置も講じるべきだとした。

AIを悪用したハッキングへの対応も議題に上った。金融当局は、ネットワーク分離規制の第2次緊急緩和措置について、電子金融事業者にも適用対象を広げたことを踏まえ、PG各社にも関連政策の活用を促す方針だ。

ユ・ヨンジュン金融委員会デジタル金融政策官は「PG各社は金融会社より規模は小さいものの、多数の金融会社や加盟店とつながり、大量の個人信用情報を処理している」と指摘した。そのうえで、「侵害事故が発生した際には、カード会社と関係機関が緊密に連携し、消費者被害の予防措置が直ちに講じられるよう、対応体制を継続的に点検していく必要がある」と述べた。