韓国科学技術情報通信部と韓国インターネット振興院（KISA）は7月30日、「2026年上半期 国内サイバー脅威動向」報告書を公表した。2026年上半期にKISAが受理したサイバー侵害事故の届出は1236件と、前年同期比19.5%増加した。DDoS（分散型サービス妨害）攻撃とランサムウェア被害の拡大に加え、生成AIの悪用やオープンソースのサプライチェーンを狙う攻撃も主要脅威として浮上した。

報告書によると、上半期の届出件数は前年同期の1034件から増加した。一方で、過去最多だった前年下半期の1349件からは8.4%減少した。両機関は、前年に発生した通信大手3社の侵害事故を受け、企業の届出意識が高まったことが前年下半期の急増につながったと分析している。

類型別では、DDoSとランサムウェアの増加が目立った。DDoS攻撃の届出は前年上半期の238件から今年上半期は373件となり、56.7%増加した。侵害事故全体に占める比率も23%から30.2%へ上昇した。ランサムウェアは145件で、前年同期の82件に比べ76.8%増えた。マルウェア感染の届出201件のうち、ランサムウェアが72.1%を占めた。

サーバへの不正侵入は引き続き最も大きな比率を占めたが、届出件数は前年上半期の531件から今年上半期は487件へと8.3%減少した。

韓国科学技術情報通信部とKISAは、国内外の情報セキュリティ企業15社の専門家とともに、上半期の主要なサイバー脅威を5つに分類した。具体的には、生成AIの普及に伴うセキュリティリスク、オープンソースのサプライチェーン攻撃、国際的なハクティビストによるDDoS攻撃、ランサムウェアの二重脅迫、APIやアカウント窃取を悪用した個人情報流出を挙げた。

生成AIを巡っては、脆弱性の検知やマルウェア分析、コードレビューなどでセキュリティ業務の生産性を高める一方、攻撃側にとっても侵入準備にかかる時間とコストを下げると指摘した。AIエージェントがメール、コードリポジトリ、クラウド、コラボレーション基盤など外部システムと接続し、自律的に処理を進めることで、攻撃対象領域が拡大しているという。主なリスクとして、悪意ある指示の注入、権限の乱用、機密情報の流出、不正ツールの呼び出し、誤った自動実行を挙げた。

両機関は対策として、AIサービスで用いるAPIキーやトークン、サービスアカウントを一元管理し、長期認証情報の利用を最小限に抑えるよう勧告した。あわせて、機密情報のフィルタリング、入出力ログの管理、AI生成コードや自動対応に対する担当者の検証手順が必要だと強調した。

オープンソースのエコシステムでは、開発者アカウントやアクセストークンを奪取し、正規ソフトウェアや配布経路を悪用する攻撃が増えている。攻撃者は情報窃取型マルウェアを使って、GitHubやnpm、PyPIのアカウント情報、個人アクセストークン、クラウドのアクセスキーなどを盗み出す。その後、正規プロジェクトの管理権限やCI/CD環境を悪用して不正パッケージを拡散し、企業情報を持ち出すという。

開発者アカウントやトークンが1つ侵害されるだけでも、複数企業のビルドサーバや運用環境に不正コードが連鎖的に広がるおそれがある。両機関は、ソフトウェア構成解析とSBOM（ソフトウェア部品表）を活用して構成要素とバージョンを把握し、開発者アカウントに多要素認証を適用すべきだとした。コード署名、配布承認、開発者端末やビルドサーバに対する不審な挙動の検知も必要だとしている。

国際的なハクティビスト集団によるDDoS攻撃も、韓国内の公共機関や民間企業へと対象が広がっている。一部のハッキング組織は、メッセンジャーのチャンネルを通じて韓国企業や機関への攻撃を予告したり、実際に攻撃を実行したと主張したりしたという。

主な狙いは情報窃取ではなく、対外サービスの可用性を低下させ、障害発生を示す画面をSNSに拡散することで、社会的混乱や心理的な不安を広げる点にあると分析した。

企業に対しては、インターネットサービス事業者やクラウドサービス事業者、KISAと連携した緊急対応手順を整備し、CDN（コンテンツ配信ネットワーク）やWAF（Webアプリケーションファイアウォール）、クラウド型DDoS防御サービスを組み合わせて備えるよう求めた。中小企業については、KISAが無料で運営する「DDoSサイバー避難所」の活用が被害予防に有効だとしている。

ランサムウェアは、データの復号や窃取情報の非公開と引き換えに金銭を要求する手口として、引き続き産業全体に対する脅威になっている。RaaS（Ransomware as a Service）と初期アクセスブローカーの分業が広がり、専門知識がない攻撃者でも、侵害済みアカウントやリモート接続権限を購入して攻撃に加わりやすくなった。

両機関は、重要データを業務ネットワークから分離したうえで、不変バックアップやオフラインバックアップで管理し、定期的に復旧訓練を実施する必要があるとした。

個人情報の窃取を狙う攻撃は、データベースサーバへの侵入だけでなく、外部APIや利用者アカウントの悪用へと手口が広がっている。攻撃者は、APIの認証や権限確認の脆弱性を突いたり、過去に流出した認証情報を自動的に試行するクレデンシャルスタッフィング攻撃を仕掛けたりするという。

対策としては、APIごとに認証と認可の体系を分けて点検し、多要素認証、リスクベース認証、不自然な大量照会の検知などを導入すべきだと提言した。

チェ・ウヒョク情報保護ネットワーク政策室長は「AIを基盤とするサイバー脅威が現実のものとなり、クラウドの脆弱性を狙う高度な攻撃も続いている」と指摘した。そのうえで、「政府としてAI時代に対応した予防・対応体制を整え、先手の脆弱性発掘を通じて、国民が安心できるサイバー環境を構築していく」と述べた。