AI侵入テストツールを悪用、韓国の約90社から個人情報820万件を窃取
影響を受けるもの
- インターネット公開の企業システム
- 企業が保有する個人情報
- 社内資料
ソウル警察庁が10月27日に掲載した報道資料によると、生成AIなどを使って韓国の約90社に侵入し、約820万件の個人情報を盗んだ事件が確認された。捜査当局は7人を検挙し、主犯格とされる人物について、被害申告のあった15社分の容疑を10月23日に送致した。被害先は学習塾、病院、ゴルフ場、大企業の系列会社などに及ぶ。BleepingComputerはこの事件を10月26日に報じている。[1][2]
警察が示した犯行期間は2025年9月から2026年10月。主犯格とされる人物は侵入テストの業務経験があり、当初はWebサイトの脆弱性を探す自動化ツールを自ら操作し、その後は生成AIを使って攻撃対象を広げた。警察は「AI自律侵入テストシステム」の使用も確認した。攻撃後には情報公開をほのめかすメールなどで圧力をかけ、38社に金銭を要求したという。[1]
この事例では、システムへの侵入と情報窃取が企業への脅迫につながった。企業の担当者は、公開システムの把握とアクセス記録の保全を一組の点検として進めたい。情報流出を示す連絡を受けた場合に備え、メール原本や関連ログを保全する担当、経営判断の窓口、警察への相談経路も確認する。ソウル警察庁は、脅迫を受けた企業に速やかな通報を呼びかけている。[1]
担当者が確かめること
- 資産台帳と外部公開しているWebサイト・API・管理画面を照合し、診断や監視の対象から漏れたシステムを洗い出す。
- Web・認証・データ取得のログについて保存期間と取得先を確認し、不審なアクセスや大量取得を追跡できる状態にする。
- 管理画面の公開範囲と利用者権限を点検し、不要な公開経路や過剰なアクセス権を整理する。
- 情報流出を示す脅迫メールを受けた際の原本・ログの保全手順と、社内責任者・警察への連絡経路を確認する。
SERVICE最新AIペネトレーションテスト悪用される前に、弱点を洗い出す。公開Web・API・クラウド・社内システムまで、合意した範囲だけを、攻撃者と同じ最新のAI攻撃ツールで試します。報告は今日直すものに絞って優先順位をつけ、修正後の再検証まで行います。
