韓国の銀行7行がオープンソースのAIペンテストエージェントで侵害された—捜査当局は、依然として人間がそれを操作していたと述べている

の間に2026年9月28日から10月初旬、侵入者が少なくとも韓国の金融機関7社（Shinhan Bank、KB Kookmin Bank、Hana Bank、BNK Busan Bank、Yegaram Savings Bank、Welcome Savings Bank、Hyundai Capital）に押し入り、約6万6,000人の個人記録に加え、約2,200件の法人記録を持ち出した。これは各機関が開示し、韓国の各メディアが集計した数字に基づく。金銭は動いていない。金融委員会は、攻撃者がパスワードもワンタイム認証コードも取得しておらず、顧客の資金が失われた事例もないことを確認した。彼らが持ち出したのは詐欺の原材料だった。氏名、電話番号、年収、算出された借入限度額、住所、そして複数の社では住民登録番号である。

に2026年10月6日、李在明大統領は閣僚会議で、「一部のハッキング事件では、AIが使用されている兆候が現れており、国民に相当な懸念と不安を引き起こしている」と述べた。American BankerがReutersを引用して伝えたところによる。彼はモデルやツールの名称は挙げなかった。捜査当局にはすでに一つあった：ARTEX、対象に対して複数のAIエージェントを実行するために構築されたオープンソースの自律型ペネトレーションテストシステムである。Financial Security InstituteがHerald Businessに示した評価は、そのAIが「人間の関与なしに独立して行動したわけではない」というものだ。

金庫室ではなく、脇の扉です

7件の侵害はいずれも基幹銀行システムには到達しなかった。韓国の規制では、銀行の基幹システムを外部ネットワークから物理的に分離することが義務付けられており、金融保安院（Financial Security Institute）はHerald Businessに対し、同院が調査したすべての攻撃は、従業員向けまたはパートナー向けの内部システムを標的にしていたと述べた。これらのシステムは大量の顧客データを保持しており、同院自身も認めているように、消費者向けアプリよりも「厳格に管理されていなかった」。

• Shinhan Bank — 借り手を紹介する外部代理店であるローン募集担当者向けに構築されたローン進捗照会サービスです。約25,000人の顧客が、銀行の10月1日付の通知によると影響を受けました。この通知には氏名、電話番号、年収、算出された借入限度額が記載されていました。韓国の報道機関は後にその数を25,727人としました。Tech Timesは、66件の国民ID番号と97件のCI識別子も取得されたと報じましたが、これらの数字は銀行の通知には記載されていません。

• KB国民銀行 — 従業員向けモバイル勤務支援システム。アメリカン・バンカー紙によると、影響を受けたのは顧客99人と現職または元従業員20人。韓国の各メディアは一律119人と報じた。テック・タイムズ紙によると、氏名、電話番号、住所、暗号化された住民登録番号が流出し、検知までに約43時間かかったという。

• Hana Bank—ODSとして知られる従業員向け営業支援システムで、89人の顧客の国民ID番号、氏名、住所、メールアドレス、電話番号を流出させたと、Tech Timesが報じた。

• BNK Busan Bank — 同行が聯合ニュースに語ったところによると、ウェブページに「セッション検証の不備」があり、外部委託の開発者11人のデータが露出した。

• Yegaram Savings Bank — 顧客記録を保管していたサーバー。約4万人に上り、単一で開示された被害者数としては最大。Herald Business紙の報道によると、同行は身元不明のハッカーがアクセスし情報漏えいを引き起こしたとの告知をすでに掲載していた。

• Welcome Savings Bank — 2,200件超の法人顧客記録（京郷新聞が当局の10月4日ブリーフィングをまとめたものによる）。

• Hyundai Capital — 住宅ローン勧誘員の検索ページで、146人の勧誘員を公開しているとTech Timesとソウル新聞が報じた。

この計算についてはっきり述べておくべきことが2つある。66,000という数字は、どの規制当局も公表した数値ではない。これは7つの機関単位の開示を合計したものであり、各社がログレビューを終えた10月第1週の間に変動した。10月3日、Herald Businessは確認済みの総数を「26,000弱」としたが、これはYegaramの約40,000が加算される前の数字だった。10月5日に執筆したTech Timesは、確認済み件数が65,000を超え、さらに増える見込みだと述べた。アーカイブでは範囲を65,000〜68,000と記録している。別途、Financial Security InstituteはHerald Businessに対し、「実際にインシデントが発生した機関よりも、攻撃を受けた機関のほうがはるかに多かった」と述べ、銀行以外の組織も含まれていたとした。この発言は数値化されていない。

ページタイトルがどのようにして帰属表示になったのか

ARTEXにつながる手がかりは、攻撃者の自白から得られたものではない。それはウェブページのヘッダー内にある文字列から得られたものだった。10月2日、Genians Security Centerの責任者であるMoon Jong-hyun氏は、韓国の複数の標的への攻撃で使われたウェブサーバーに次のHTMLタイトルが付いていたと投稿した。「ARTEX-自主渗透测试控制台」——おおよそ「ARTEX自律型ペネトレーションテストコンソール」という意味だと、京郷新聞（Kyunghyang Shinmun）は伝えている。これは状況証拠にすぎない。ページタイトルにツール名があるということは、そのサーバー上でそのツールが実行されたことを示すものであって、そのツールが窃取行為を行ったことを示すものではない。

その後、金融セキュリティ研究所が重要な部分を担った。同研究所の関係者はヘラルド・ビジネスに対し、調査員が最初に報告した新韓銀行から攻撃IPとサーバーログを追跡し、ARTEXを示す証拠を見つけたこと、また同ツールからの通信にはそれに「共通する特定のデータ署名」が含まれていることを明らかにした。これにより、被害者をまたいで攻撃者が特定されたという。同研究所の朴相元（パク・サンウォン）所長は記者団に対し、攻撃IPは「銀行ではほぼ同じで、貯蓄銀行では少し異なっていた」と述べ、これは背後に誰がいるかを立証するものではないと警告した。「ARTEXはオープンソースで、世界中で公開されている」と同氏は言う。「攻撃IPはさまざまな場所を経由できるため、IPだけでは攻撃者を特定できない」。京郷新聞によると、8カ国からのIPが使われていた。

CrowdStrikeによる独立した再現分析は、10月7日に公開され、韓国のどの報道機関よりも踏み込んだ内容だった。同社のCounter Adversary Operationsチームは次のものを発見した：攻撃者が管理するサーバー上の公開ディレクトリ——一つは38.244.50[.]120にあり、ARTEXインスタンスと、中国語のペネトレーションテスト用プロンプトを含むC​laude Code設定ファイルをホストしていた。また、香港のアドレスには、C​laude Codeのセッション履歴、ARTEX設定ファイル、C​laudeのメモリファイルが保存されていた。これらのディレクトリは一度もロックされていなかった。CrowdStrikeはこの作戦の作業メモを読んだ。

それらのメモが明らかにした構成は具体的だ。ARTEXインスタンスはDeepSeek v4.1-flashを主要なモデルバックエンドとして使用し、GLM-5.3をZ​hipu AIから、またGrok 4.6を他のC​laude Codeセッション向けに追加していた。そして運営者はおそらく、CrowdStrikeがxcai[.]proと呼ぶリセラーを通じてD​eepSeekに到達した。これはARTEX自身のドキュメントとは異なる状況だ。American Bankerは、このツールのGitHubページがA​nthropicまたはO​penAIのモデルで動作すると説明していると指摘した。このツールはモデルを出荷しない。出荷するのはハーネスであり、それを運用する者が知能を供給する。

CrowdStrikeはまた、このオペレーターが侵入行為以外のことも行っているのを捉えた。同社が復元したセッションの1つでは、ユーザーがClaudeに対し、脅威アクターは通常どこで韓国の侵害データを販売しているのか、またそれを販売している韓国のTelegramグループを見つけるのを手伝ってほしいと尋ねていた。別のセッションでは、ユーザーがClaudeに、ARTEXの作業結果を記載したセキュリティ研究者の履歴書を作成するよう依頼していた。CrowdStrikeは、そのプロンプトに含まれる個人情報は「おそらく脅威アクターに属する」が、「現在入手可能な情報では、これらの詳細を脅威アクターと確定的に関連付けることはできない」と述べた。この報告を扱ったSecurity Affairsはさらに踏み込み、それらの詳細はニュース記事で一切繰り返すべきではないと主張した。ここでは繰り返さない。

ARTEXとは実際に何なのか

ARTEXは、大規模言語モデルによって駆動されるマルチエージェント型の自律ペネトレーションテストシステムであり、開発者ハンドルAutumn-27でGitHubに公開された。京郷新聞がそのリポジトリを確認したところによると、2026年7月26日に公開され、9月3日にはB​aidu主催のサイバー攻防競技会で約150チーム中首位となり、最新版を9月24日にリリースした——同紙が9月27日としている韓国への最初の侵入の3日前である。これは認可されたセキュリティテスト、つまり銀行が購入する種類のテストのために作られた。他の誰かが見つける前に穴を見つけるのだ。

キャンペーンが公表された後、Autumn-27はそれをクローズドソース化した。The Hacker Newsが報じた声明の中で、開発者は次のように述べた。「ARTEXは元々、学習と研究を目的として設計された。ツール悪用という現実を考慮し、ARTEXプロジェクトは今後更新されず、クローズドソースに移行する。今後、いかなるバージョンのリリースもメンテナンスサポートも行わない」。リポジトリを閉鎖しても、すでにダウンロードされたコピーを回収することはできない。また、Financial Security InstituteがHerald Businessに示した論点は、ARTEXは特別ではないということだった。「ARTEXのようなオープンソースAIツールは非常にたくさんある。現在、世界中で開発・配布されているすべてを制限する方法はない」。

何が確立されており、何がそうではないのか

ここが、記録が注意深い読み手に報いる場面だ。なぜなら、自信に満ちた部分と不確かな部分がすぐ隣り合っているからだ。

判明事項：2026年9月下旬から10月上旬にかけて、名前の挙がった7機関がデータ侵害に遭った。侵入者は基幹銀行システムではなく補助システムに到達した。開示された被害は、個人記録約66,000件に法人記録約2,200件を加えた規模に上る。金融保安院（Financial Security Institute）は新韓銀行のログを追跡し、ARTEXを発見した。CrowdStrikeは攻撃者管理下のサーバー上で、ARTEXのインフラ、設定ファイル、LLMセッション履歴を独自に発見した。同院の評価では、人間がこのツールを指示したという。

立証されていない：誰が実行したのか。CrowdStrikeはこのキャンペーンを特定の敵対者のいずれにも帰属させておらず、中程度の確信のみをもって、運用主体は金銭的動機を持つ中国語話者であると評価した——この判断は、中国で開発されたツールと中国語のプロンプトの使用に基づくものであり、いずれも国籍を判断するには弱いシグナルにすぎない。京郷新聞は亜洲大学校の朴賛植（パク・チャンシク）氏の、洗練されたグループはまさにその推論を崩すために複数の国を経由するのだという当然の指摘を引用している。また、ARTEXが7件の侵害すべてで使用されたことも立証されておらず、確認されているのは、銀行への攻撃でこれが特定されたことと、貯蓄銀行が同様の手口で攻撃されたことだけである。

細部ではなお議論が分かれる：新韓（シンハン）への侵入がどのように行われたのか。聯合ニュース（ヨンハプ）はクレデンシャル・スタッフィングだと報じ、東亜日報（トンア・イルボ）は、新韓が国会議員に提出したインシデントレポートに基づき、列挙攻撃（ランダムな顧客番号を照会サービスに投入し、何らかのデータが返ってくるまで繰り返す手口）だったとし、9月28日からの約30時間に及んだと伝えた。争いがないのは結果だ。携帯電話による本人確認のステップが回避されたのであり、その手口を説明したアカウントは一つもない。新韓の告知は、「無権限の外部者」が「異常な手段で」一部のサービスに到達した、とだけ述べている。

規制当局による正式な確認はない：ARTEXへの帰属そのものである。金融保安院（Financial Security Institute）の調査結果は、Herald Businessに語った当局者を通じて公になった。またAmerican Bankerは、「いかなる規制当局も、ARTEXがこの攻撃に関与したと公に名指ししていない」と淡々と指摘した。この区別は聞こえるほど重要ではない——同院はこの分野のサイバー機関であり、その院長が記者たちとこの件を議論した——が、それは当局の調査結果と当局の通知の違いであり、記録にはそれが残る。

その後、何が変わりましたか

規制当局の対応は迅速で、韓国の基準では異例なほど広範だった。金融サービス委員会は10月2日金曜日と10月4日日曜日に緊急会合を開き、金融企業に対し、顧客向けかどうかにかかわらず、インターネットに接続するすべてのシステムを棚卸しし、不足分を10月8日までに修正するよう命じたと、聯合ニュースは報じた。同委員会は企業に対し、従業員や「ローン勧誘員や外部委託業者などの外部要員」が使用するシステム内で個人信用情報を「不必要に保存したり閲覧可能にしたりしてはならない」と伝え、これを「最近の不正侵入の原因」と呼んだ。警察は正式な捜査を開始し、金融保安院は、企業に対し外部アクセス拠点のうち社内の従業員向けシステムをすべて監査するよう求める勧告の起草を始めた。

委員会が10月6日に発出した消費者向け警告では、攻撃者はパスワードやワンタイムコードを入手しておらず、顧客に金銭的損失は出ていないとされていたが、盗まれた収入および融資データによって説得力のある偽の融資提案を容易に作り上げられるようになると警告していた。金融保安院（Financial Security Institute）の局長も同様の見方を示した。「攻撃者はシステムを乗っ取ったのではなく、侵入して情報を問い合わせて引き出した」と同当局者はHerald Businessに語った。「漏えいした個人データは音声フィッシングや類似の詐欺に使われる可能性があるが、口座から資金が直接移されることは想定していない」。

最も重大な変化は、記録が明言している一方で、韓国メディアの報道が複雑化させているものだ。規制当局は、ネットワーク分離——銀行の業務システムを外部ネットワークから物理的に隔離する規則——を緩和して、企業がAIセキュリティツールを運用できるようにしてきた。最初の企業群は認められ、第2ラウンドは75社の応募者から最大15社を10月7日に選定することになっていた。The Trackerは10月21日、委員会がインシデント対応に人員を割かれたことを理由にその選定を延期したこと、再開時期は未定であることを報じた。また、委員会は政策自体を放棄していないと主張しているとも報じた。このニュアンスは、Yonhapが報じたところによると、金融サービス委員会のLee Eok-won委員長が10月8日の国会監査で述べたことと一致する。すなわち、AI主導の攻撃を止めるには「最終的にはAIを使わざるを得ない」ということ、そして委員会は分離規則を変える「段階的で効果的な方法」を検討しているということだ。第2ラウンドはずれ込んだが、政策の方向性は目に見えて反転したわけではない。

責任追及の動きも進んだ。The Trackerは、金融監督院（FSS）院長のイ・チャンジン氏が10月19日の同じ監査の場で、この件がサイバーインシデントをめぐって最高経営責任者の内部統制責任が正式に検証される初の事例になる可能性があると述べ、同院がCISOやCEOに対するより厳しい責任追及を検討していると伝えた。銀行側も規制当局も根本原因報告書を公表していない。

アーカイブがそれをどのように保存するか

この記録はインシデントである——予測ではなく、実際に発生した事象——日付は2026年10月6日、大統領がAIシグナルを認めた日であり、委員会の消費者向け警告が発せられた日である。重大度はクリティカル、タイプタグはWEAPONとEXFILであり、ツールが攻撃手段として転用され、データが持ち出されたことを意味する。実害は真として記録され、AIの関与は確認済み、信頼度グレードはA——十分に文書化されており、一致する一次資料が存在する。この記録は係争中としてフラグが立てられていない。

その評価は正確に読む価値がある。それは、事象とその輪郭が十分に裏付けられていると述べている。侵害、システム、件数、ツール、人的指示である。それは、運用者が特定されたとは述べていない。なぜなら誰も運用者を特定していないからであり、また研究機関の調査結果を規制当局の通知に変換するものでもない。この事例がそれ自体の数字を超えて立証する唯一のことは、より狭く、より有用である。認可されたテストのために構築されたオープンソースのエージェントが7つの金融機関に向けられ、1週間足らずで複数標的キャンペーンを実行するのに必要な技能を引き下げ、それを止めたのは巧妙なモデルではなく、ある研究機関がページタイトルに気づいたことと、ある銀行が自らのログを読んだことだった。

この記録は、AIインシデントアーカイブ内の他の記録済みAIインシデントと並んでおり、各エントリには独自の情報源、重大度、信頼度グレード、および異議フラグが付されています。