韓国の銀行9行以上を狙ったサイバー攻撃の全容：AIツール悪用と「26歳・中国在住」の痕跡

韓国金融機関へのサイバー攻撃と発覚の経緯

米セキュリティ大手CrowdStrikeは10月7日（現地時間）、韓国の金融機関を標的とした一連のサイバー攻撃について、攻撃者が使用したサーバの詳細な分析結果を公表しました。英Reutersの報道および現地報道によると、被害の公表や取材を通じて確認されただけでも、標的とされた銀行は少なくとも9行に上ることが判明しています。

金融システムという極めて高い堅牢性が求められるインフラを対象とした今回の攻撃では、最新のAI技術とオープンソースツールが組み合わせて悪用されていたことが、解析データから明らかになりました。

侵入テストツール「ARTEX」と複数LLMの悪用構造

今回の攻撃で主軸として悪用されたのが、中国で開発されたオープンソースのAI侵入テストツール「ARTEX」です。ARTEXは、中国のセキュリティエンジニアが2026年にGitHub上で公開した侵入テスト自動化ツールであり、ChatGPTやClaudeといった外部の大規模言語モデル（LLM）と連携してシステムの脆弱性を探索する仕組みを備えています。

なお、ARTEXの公開ページは用途を個人の学習やコード research に限り、実際に稼働しているシステムやWebサイトを相手にした侵入テストには使わないよう求めています。しかし、攻撃者はこの利用基準を無視して実際の金融機関攻撃へと転用していました。

攻撃に投入された複数の大規模言語モデル

攻撃者が使用していたサーバのログからは、単一のAIにとどまらず複数のLLMを柔軟に切り替えて悪用していた形跡が見つかりました。中心的に利用されていたのは中国DeepSeekが開発した「DeepSeek v4.1-flash」であり、これに加えて中国Zhipu AIの「GLM-5.3」や米xAIの「Grok 4.6」などを接続し、脆弱性探索や攻撃のプロセスを自動化・効率化していたと見られています。

サーバに残されていた作業ログと攻撃者の人物像

CrowdStrikeが攻撃者の使用したサーバの公開ディレクトリを調査したところ、AIコーディングツール「Claude Code」の利用記録やARTEXの設定ファイルとともに、攻撃者本人のものと推測される個人情報や検索履歴が残されているのが発見されました。

Claude Codeの利用記録には、韓国の漏えいデータの売買場所やデータ販売に使う韓国系のTelegramグループの探し方をClaudeに尋ねた形跡がありました。

履歴書データから浮上した「26歳・広東省茂名市在住」

さらに注目すべき点として、Claude Codeのやり取りの中に履歴書（レジュメ）の作成を依頼する文章が含まれていました。その記述の中で、攻撃者は自らを「26歳」「中国広東省茂名市在住」であると自己紹介していました。高度なサイバー攻撃を仕掛ける一方で、AIツール上の指示文から自身の属性情報を露出させるという事態が発生していたことになります。

セキュリティ上の重要性と今後の展望

本件は、AIを活用した自動化ツールやLLMがセキュリティ調査目的を超えて、サイバー攻撃の効率化へ実稼働環境で悪用された典型的な事例と言えます。正規のセキュリティ検証ツールとして公開されたものであっても、悪意ある主体に渡れば強力な脅威へと変貌するリスクを改めて示しています。

未確定な要素と専門家の見立て

現時点でCrowdStrikeは攻撃者の完全な特定には至っていません。ただし、得られた痕跡ややり取りの内容から、攻撃者は中国語話者であり、金銭的な利益を目的として動いていた可能性が高いと「中程度の確信度」で推定しています。AIツールの利便性が増す一方で、防御側にとってもAIを悪用した高度な攻撃に対する新たな警戒と対策が求められています。