金融機関を狙った連続ハッキングで、16社の金融会社で被害が確認され、約10万件の個人情報が流出したことが分かった。金融当局が555社を対象に緊急点検を実施したところ、130社でセキュリティ管理上の不備も見つかった。金融委員会は、CEOや取締役会の管理責任を強化するなど、金融業界全体のセキュリティ体制の見直しに乗り出す。

金融委員会は14日、シン・ジンチャン事務処長の主宰で、金融監督院や金融保安院、関係省庁などが参加する第2回緊急対応会議を開いた。会議では、金融業界で発生した被害の調査結果と、今後の管理強化策を協議した。

被害が確認されたのは、銀行、貯蓄銀行、相互金融、与信専門金融、電子金融、オンライン投資連携金融、暗号資産関連などを含む計16社。流出した情報は、氏名、連絡先、住民登録番号、メールアドレスなどで、件数は約10万件に上る。

金融当局は、口座番号やカード番号など、不正決済に直結しかねない情報の流出は確認されていないと説明した。一方で、追加の被害の有無について調査を続けており、被害企業がさらに増える可能性があるとしている。

◆555社を緊急点検、130社で管理不備

金融当局は8日までに、金融会社555社を対象に12項目のセキュリティチェックリストに基づく緊急点検を実施した。その結果、425社は適正と回答した一方、130社で一部に不備が確認された。

主な不備としては、最新のセキュリティパッチの未適用、メーカーの技術支援が終了したシステムの管理不徹底、24時間の監視体制の未整備、外部接続システムにおける認証・アクセス制御の脆弱性などが挙がった。

特に、電子金融業とオンライン投資連携金融業では、相対的に不備が多く見つかったという。

不備が確認された各社は、セキュリティパッチの適用や老朽設備の更新、監視要員・設備の拡充などを盛り込んだ改善計画を提出し、是正を進めている。

◆CEO・取締役会の責任強化、点検拡大へ

金融当局は今回の事案を受け、金融会社のCEOと取締役会のセキュリティ管理責任を強化する。あわせて、セキュリティ点検に関する勧告事項が現場で確実に履行されるよう、制裁の実効性を高める方策も進める方針だ。

これまでも金融業界に対し、繰り返し点検と管理強化を求めてきたが、基本的なセキュリティ対策すら徹底されていない事例が確認されたと判断した。

まず、金融会社の電算システムについて、外部接点、認証・アクセス制御、内部統制などを含むセキュリティ管理体制全般の一斉点検を進める。CEOと最高情報セキュリティ責任者（CISO）、最高情報責任者（CIO）を巡る報告体制と責任範囲も明確化する。

大手金融会社に対する脆弱性点検・評価の頻度を、現行の年1回から、年2回以上に増やす案も検討する。重要な外部接点を必須点検対象に加えるほか、緊急のセキュリティ脅威が発生した際に随時点検を実施できる制度的な根拠づくりも進める。

◆AI時代の攻撃に備え、中小金融会社の共同監視も検討

金融会社ごとに把握したハッキング脅威情報を、金融業界全体で共有できるよう、統合監視システムの改善も進める。現在は金融監督院と金融保安院が収集した脅威情報が共有されているが、個別の金融会社が独自に検知した情報は共有されていないという。

金融当局は、AIベースの脅威レベル情報体系と脆弱性点検インフラを構築する方針だ。あわせて、金融保安院と業界別の協会・中央会が参加する、中小金融会社向けの共同セキュリティ監視システムの導入も検討する。

また、電子金融取引法の適用対象から外れている貸金業者や保険代理店（GA）についても、セキュリティ管理強化策を整備する方針だ。

シン・ジンチャン金融委員会事務処長は「複数回にわたり一斉点検と管理強化を求めてきたにもかかわらず、金融会社で基本が守られていない事例が見つかったことは極めて遺憾だ」とした上で、「CEOや取締役会の責任を明確にし、セキュリティ体制全般の抜本的な制度改善を進める」と述べた。