[イーデイリーYun Junghoon·An Yu-ri 記者]科学技術情報通信部と韓国インターネット振興院（KISA）によると、今年上半期の国内におけるサイバー攻撃の通報件数は1236件で、前年（1034件）に比べ19.5％増加しました。
SKテレコム、ロッテカード、クーパン、KT、TVING、YES24、デュオ、カンナムオンニ、国立外交院、情報通信企画評価院など、民間企業や公共機関を問わず、次々と攻撃を受けました。 一連のハッキング事件の調査結果を詳しく見てみると、共通点があります。AIによる高度な攻撃が原因ではなく、担当者ですら忘れていた「些細な基本違反」からハッキングが始まったという点です。
クーパンを突破したのは、認証システムを自ら開発していた元社員でした。彼が退職した後も、署名キーを更新したり破棄したりしなかったことが原因となりました。SKTは、外部のインターネットに接続されたサーバーにIDとパスワードを暗号化せずにそのまま（平文）保存していたため、コアネットワークまで侵害されてしまいました。 Tvingは開発者のアクセスキーを盗まれてしまいましたが、そもそもそのアクセスキーをソースコードにそのまま組み込んでいたことが問題でした。
ナル・セキュリティのキム・ヒョクジュン代表、AIスペラのカン・ビョンタク代表、T.O.R.のパク・グァンスンCISO、アンラボのパク・テファンACSC本部長、ラオンセキュアのキム・ドンミン・ホワイトハットセンターチーム長、NHNのチョ・ソンミン理事（情報保護室長）（写真左から）（写真＝各社提供）
まさに「大規模ハッキングの時代」です。高度化したAIの発展に伴い、もはやどの企業のセキュリティ対策も安全だと断言することはできません。NVIDIAのジェンセン・ホアンCEOも、去る10日のゴールドマン・サックス技術カンファレンスで、「サイバーセキュリティがAIの次の主要な応用分野になるだろう」と述べたのも、このためです。
イーデイリーは、それぞれ異なる立場からセキュリティを考察する専門家6名にインタビューを行い、いわゆる「セキュリティ対策が優れた企業」や「セキュリティ対策を強化したい企業」が準備し、実践すべきことについてアドバイスを伺いました。
専門家6名は、実際の侵害事故を調査し、脅威を追跡するAHNLAB,INC.(053800) サイバーセキュリティセンター（ACSC）のパク・テファン本部長、ネットワークのトラフィックから攻撃者の痕跡を追跡するセキュリティ企業ナルセキュリティのキム・ヒョクジュン代表、 ホワイトハッカーを率いて企業への模擬侵入を直接試みるRaonSecure Co., Ltd.(042510) のホワイトハットセンターのキム・ドンミンチーム長、企業がインターネット上にどのような情報を公開しているかを監視する攻撃表面管理（ASM）専門企業のAIスフェラのカン・ビョンタク代表、クラウドやゲームなど大規模サービスを直接運営し、社内の情報保護政策と開発セキュリティを統括するチョ・ソンミンNHN(181710) 取締役（情報保護政策室長）、 企業向けセキュリティコンサルティングを行うティオリのパク・グァンスン最高情報保護責任者（CISO）などです。
彼らが口を揃えて強調したのは、「セキュリティ製品の数ではなく、自社の内部をどれだけ正確に把握し、どれだけ迅速に対策を講じるか」ということでした。
パク・グァンスンCISOは、最近発生した大規模な個人情報流出事故の発端を、「華麗なハッキング技術ではなく、些細な基本ルールの違反と蓄積されたセキュリティ負債」だと指摘しました。
同氏は、AIの高度化の事例として、かつては数週間かかっていたLinuxカーネルレベルのハイリスクな脆弱性の分析が、現在ではAIのおかげで数時間から1日単位にまで短縮された点を挙げました。
カン・ビョンタク代表も同様の診断を下しました。同氏は、「攻撃者は正面玄関ではなく、裏側の窓が一つでも開いていれば、そこから侵入してくる」とし、「AIが恐ろしいのは、担当者でさえ忘れていたこうした小さな穴をはるかに早く見つけ出すからです」と説明しました。
専門家たちが第一歩として挙げたのは、攻撃対象領域管理（ASM）です。
カン代表は、「多くの企業が、自社がインターネット上に何を公開しているのか正確に把握していない」と指摘しました。興味深いのは、これが大企業だけの課題ではないという点です。
同氏は、「予算が負担となる中小企業であれば、韓国インターネット振興院（KISA）が無料で提供しているASMに基づく点検支援事業から利用すべきだ」と助言しました。
パク・グァンスンCISOも、「最初の侵入は、ほとんどの場合、担当者ですら存在を忘れてしまった放置された資産から始まる」と述べました。
認証情報の管理については、「絶対に漏らさない」という段階を超えて、「漏れた瞬間に即座に発見する」という方向へ進むべきだという点でも意見が一致しました。
チョ・ソンミン理事は、NHNがソースコードリポジトリを社内に構築し、外部からのアクセスを根本的に遮断するとともに、コードがアップロードされる前に認証キーが混入していないかを自動的にフィルタリングする管理体制を構築中であると明らかにしました。特に、AIがコードを代わりに記述する「Vibeコーディング」が増加していることから、AIに対しても認証情報を直接書き込まないよう指導する開発セキュリティガイドを、会社が独自に作成して配布したと伝えました。
キム・ドンミンチーム長も、「鍵は発行から廃棄までの履歴を残し、短い周期で交換する必要があり、流出が疑われる場合は直ちに廃棄できるようにしなければならない」と強調しました。
『イーデイリー』が取材したセキュリティ専門家6名は、「セキュリティ製品の数ではなく、自社の内部をどれだけ正確に把握し、どれだけ迅速に封じ込められるか」といった基本を強調しました（写真＝ChatGPT）
ハッカーの侵入後も、別の部屋へ侵入できないよう、サーバーなどの資産を分離しなければならないという点も、専門家たちの共通した意見です。
パク・グァンスンCISOはこれを「ガードレール」と呼び、「人はいつでもミスを犯す可能性があるという前提の下、役職員のミスがシステム全体の事故に発展しないよう防ぐ技術的統制を備えた企業が、攻撃者にとって最も手強い」と述べました。
キム・ドンミンチーム長は、実際の模擬ハッキングの経験から、最も突破が難しい事例として、「メインページしかなく、サービスがない企業が最も突破しにくい。機能そのものが存在しないため、侵入する入り口もないからだ」と例を挙げました。
続いてキム・ドンミンチーム長は、「次に難しいのは、ある拠点が突破されても次の段階に進むのが難しく、些細な異常行動にも組織が迅速に対応する企業です」と述べました。重要なシステムには管理端末と多要素認証を経る必要があり、開発・運用環境が分離され、外部へのデータ転送も制限される構造となっています。
キム・ヒョクジュン代表は、「攻撃者が内部環境を把握するレベルが防御者の可視性を超える瞬間、攻撃行為は防御者のレーダーから完全に消え去ります」とし、「これを防ぐために、普段から正常な業務範囲をデータとして定義しておいてください」と助言しました。
どのサーバーが普段どこと通信しているかという基準があってこそ、見知らぬ外部アドレスと通信したり、業務上の理由なく顧客情報を大量に照会したりする瞬間を、直ちに異常行動として検知できるというのです。
AhnLabのパク・テファン本部長も、「顧客情報を1つのサーバーに集中して保存せず、目的や重要度に応じて分離すべきだ」とし、「多要素認証システムが導入されている企業では、攻撃者がオンラインで確認した情報だけでは侵入するのは容易ではない」と付け加えました。
ほとんどのハッキング事例が示すように、情報セキュリティマネジメントシステム（ISMS）などの政府によるセキュリティ認証は、最低限の義務と見なすことができます。
パク・グァンスンCISOは、「認証はコンプライアンスの基準点に過ぎず、リアルタイムで進化する侵入を防ぐ実戦的なファイアウォールではない」とし、「年に1、2回受ける定期点検は特定の時点の状態しか把握できませんが、現在の攻撃は秒単位という『機械の速度』で動いています」と述べました。
チョ・ソンミン理事は、「事故の履歴よりも、政府の情報保護開示数値の推移の方がはるかに客観的な指標だ」とし、「経営陣は、この数値が定期的に報告される体制が整っているか、セキュリティ組織が事業部門の顔色をうかがうことなく問題を提起できる立場にあるか、まず確認すべきだ」と述べました。
カン代表は、真の防御能力が分かれるポイントを「時間」と見なしました。
同氏は、「脆弱性が発見されても、担当部署の確認や日程の調整に数週間も費やしてしまう企業がある一方で、優れた企業はまず遮断し、直ちに措置を講じます」とし、「攻撃者はその数週間を待ってはくれません」と述べました。
キム・チーム長も、「製品の数や予算総額よりも、リスクをどれだけ早く発見し、軽減できるかというスピード指標が重要だ」とし、「発見から措置までにかかる期間や期限超過件数を、経営陣が直接把握すべきだ」と述べました。
専門家たちは同じ結論に至りましたが、重視する点は少しずつ異なっていました。
パク・テファン本部長は、実際のインシデントに対応してきた経験から、多要素認証や情報の分散保存といった「基本」を、キム・ヒョクジュン代表は、侵害の痕跡を追跡した現場経験から、攻撃者よりも広い「可視性」を確保することを、キム・ドンミンチーム長は、ペネトレーションテストを行ってきたホワイトハッカーの視点から、侵入された後の拡散を防ぐ「内部統制」を、それぞれ最も重要だと指摘しました。
カン・ビョンタク代表は、攻撃面管理の専門家らしく「露出資産の把握」と「対応速度」を一貫して強調し、チョ・ソンミン理事は、実際にサービスを運営する企業内部者として、開発段階での「事前予防」や経営陣が確認できる「情報保護開示」といった制度的な指標を前面に押し出しました。 パク・グァンスンCISOは、セキュリティコンサルティングと公益的な脆弱性報告活動を並行して行ってきた経験から、「セキュリティ負債」という概念と、人的ミスを前提とした「ガードレール」の設計を最も強く推しました。
SKテレコム、ロッテカード、クーパン、KT、TVING、YES24、デュオ、カンナムオンニ、国立外交院、情報通信企画評価院など、民間企業や公共機関を問わず、次々と攻撃を受けました。 一連のハッキング事件の調査結果を詳しく見てみると、共通点があります。AIによる高度な攻撃が原因ではなく、担当者ですら忘れていた「些細な基本違反」からハッキングが始まったという点です。
クーパンを突破したのは、認証システムを自ら開発していた元社員でした。彼が退職した後も、署名キーを更新したり破棄したりしなかったことが原因となりました。SKTは、外部のインターネットに接続されたサーバーにIDとパスワードを暗号化せずにそのまま（平文）保存していたため、コアネットワークまで侵害されてしまいました。 Tvingは開発者のアクセスキーを盗まれてしまいましたが、そもそもそのアクセスキーをソースコードにそのまま組み込んでいたことが問題でした。
まさに「大規模ハッキングの時代」です。高度化したAIの発展に伴い、もはやどの企業のセキュリティ対策も安全だと断言することはできません。NVIDIAのジェンセン・ホアンCEOも、去る10日のゴールドマン・サックス技術カンファレンスで、「サイバーセキュリティがAIの次の主要な応用分野になるだろう」と述べたのも、このためです。
イーデイリーは、それぞれ異なる立場からセキュリティを考察する専門家6名にインタビューを行い、いわゆる「セキュリティ対策が優れた企業」や「セキュリティ対策を強化したい企業」が準備し、実践すべきことについてアドバイスを伺いました。
専門家6名は、実際の侵害事故を調査し、脅威を追跡するAHNLAB,INC.(053800) サイバーセキュリティセンター（ACSC）のパク・テファン本部長、ネットワークのトラフィックから攻撃者の痕跡を追跡するセキュリティ企業ナルセキュリティのキム・ヒョクジュン代表、 ホワイトハッカーを率いて企業への模擬侵入を直接試みるRaonSecure Co., Ltd.(042510) のホワイトハットセンターのキム・ドンミンチーム長、企業がインターネット上にどのような情報を公開しているかを監視する攻撃表面管理（ASM）専門企業のAIスフェラのカン・ビョンタク代表、クラウドやゲームなど大規模サービスを直接運営し、社内の情報保護政策と開発セキュリティを統括するチョ・ソンミンNHN(181710) 取締役（情報保護政策室長）、 企業向けセキュリティコンサルティングを行うティオリのパク・グァンスン最高情報保護責任者（CISO）などです。
彼らが口を揃えて強調したのは、「セキュリティ製品の数ではなく、自社の内部をどれだけ正確に把握し、どれだけ迅速に対策を講じるか」ということでした。
AIによって加速した攻撃速度…「サーバーなどすべてのIT資産を管理すべき」
パク・グァンスンCISOは、最近発生した大規模な個人情報流出事故の発端を、「華麗なハッキング技術ではなく、些細な基本ルールの違反と蓄積されたセキュリティ負債」だと指摘しました。
同氏は、AIの高度化の事例として、かつては数週間かかっていたLinuxカーネルレベルのハイリスクな脆弱性の分析が、現在ではAIのおかげで数時間から1日単位にまで短縮された点を挙げました。
カン・ビョンタク代表も同様の診断を下しました。同氏は、「攻撃者は正面玄関ではなく、裏側の窓が一つでも開いていれば、そこから侵入してくる」とし、「AIが恐ろしいのは、担当者でさえ忘れていたこうした小さな穴をはるかに早く見つけ出すからです」と説明しました。
専門家たちが第一歩として挙げたのは、攻撃対象領域管理（ASM）です。
カン代表は、「多くの企業が、自社がインターネット上に何を公開しているのか正確に把握していない」と指摘しました。興味深いのは、これが大企業だけの課題ではないという点です。
同氏は、「予算が負担となる中小企業であれば、韓国インターネット振興院（KISA）が無料で提供しているASMに基づく点検支援事業から利用すべきだ」と助言しました。
パク・グァンスンCISOも、「最初の侵入は、ほとんどの場合、担当者ですら存在を忘れてしまった放置された資産から始まる」と述べました。
認証情報の管理については、「絶対に漏らさない」という段階を超えて、「漏れた瞬間に即座に発見する」という方向へ進むべきだという点でも意見が一致しました。
チョ・ソンミン理事は、NHNがソースコードリポジトリを社内に構築し、外部からのアクセスを根本的に遮断するとともに、コードがアップロードされる前に認証キーが混入していないかを自動的にフィルタリングする管理体制を構築中であると明らかにしました。特に、AIがコードを代わりに記述する「Vibeコーディング」が増加していることから、AIに対しても認証情報を直接書き込まないよう指導する開発セキュリティガイドを、会社が独自に作成して配布したと伝えました。
キム・ドンミンチーム長も、「鍵は発行から廃棄までの履歴を残し、短い周期で交換する必要があり、流出が疑われる場合は直ちに廃棄できるようにしなければならない」と強調しました。
突破されても隣の部屋には侵入できないように
ハッカーの侵入後も、別の部屋へ侵入できないよう、サーバーなどの資産を分離しなければならないという点も、専門家たちの共通した意見です。
パク・グァンスンCISOはこれを「ガードレール」と呼び、「人はいつでもミスを犯す可能性があるという前提の下、役職員のミスがシステム全体の事故に発展しないよう防ぐ技術的統制を備えた企業が、攻撃者にとって最も手強い」と述べました。
キム・ドンミンチーム長は、実際の模擬ハッキングの経験から、最も突破が難しい事例として、「メインページしかなく、サービスがない企業が最も突破しにくい。機能そのものが存在しないため、侵入する入り口もないからだ」と例を挙げました。
続いてキム・ドンミンチーム長は、「次に難しいのは、ある拠点が突破されても次の段階に進むのが難しく、些細な異常行動にも組織が迅速に対応する企業です」と述べました。重要なシステムには管理端末と多要素認証を経る必要があり、開発・運用環境が分離され、外部へのデータ転送も制限される構造となっています。
キム・ヒョクジュン代表は、「攻撃者が内部環境を把握するレベルが防御者の可視性を超える瞬間、攻撃行為は防御者のレーダーから完全に消え去ります」とし、「これを防ぐために、普段から正常な業務範囲をデータとして定義しておいてください」と助言しました。
どのサーバーが普段どこと通信しているかという基準があってこそ、見知らぬ外部アドレスと通信したり、業務上の理由なく顧客情報を大量に照会したりする瞬間を、直ちに異常行動として検知できるというのです。
AhnLabのパク・テファン本部長も、「顧客情報を1つのサーバーに集中して保存せず、目的や重要度に応じて分離すべきだ」とし、「多要素認証システムが導入されている企業では、攻撃者がオンラインで確認した情報だけでは侵入するのは容易ではない」と付け加えました。
「侵入発見後の対応におけるゴールデンタイムが重要…侵入者は待ってはくれません」
ほとんどのハッキング事例が示すように、情報セキュリティマネジメントシステム（ISMS）などの政府によるセキュリティ認証は、最低限の義務と見なすことができます。
パク・グァンスンCISOは、「認証はコンプライアンスの基準点に過ぎず、リアルタイムで進化する侵入を防ぐ実戦的なファイアウォールではない」とし、「年に1、2回受ける定期点検は特定の時点の状態しか把握できませんが、現在の攻撃は秒単位という『機械の速度』で動いています」と述べました。
チョ・ソンミン理事は、「事故の履歴よりも、政府の情報保護開示数値の推移の方がはるかに客観的な指標だ」とし、「経営陣は、この数値が定期的に報告される体制が整っているか、セキュリティ組織が事業部門の顔色をうかがうことなく問題を提起できる立場にあるか、まず確認すべきだ」と述べました。
カン代表は、真の防御能力が分かれるポイントを「時間」と見なしました。
同氏は、「脆弱性が発見されても、担当部署の確認や日程の調整に数週間も費やしてしまう企業がある一方で、優れた企業はまず遮断し、直ちに措置を講じます」とし、「攻撃者はその数週間を待ってはくれません」と述べました。
キム・チーム長も、「製品の数や予算総額よりも、リスクをどれだけ早く発見し、軽減できるかというスピード指標が重要だ」とし、「発見から措置までにかかる期間や期限超過件数を、経営陣が直接把握すべきだ」と述べました。
専門家たちは同じ結論に至りましたが、重視する点は少しずつ異なっていました。
パク・テファン本部長は、実際のインシデントに対応してきた経験から、多要素認証や情報の分散保存といった「基本」を、キム・ヒョクジュン代表は、侵害の痕跡を追跡した現場経験から、攻撃者よりも広い「可視性」を確保することを、キム・ドンミンチーム長は、ペネトレーションテストを行ってきたホワイトハッカーの視点から、侵入された後の拡散を防ぐ「内部統制」を、それぞれ最も重要だと指摘しました。
カン・ビョンタク代表は、攻撃面管理の専門家らしく「露出資産の把握」と「対応速度」を一貫して強調し、チョ・ソンミン理事は、実際にサービスを運営する企業内部者として、開発段階での「事前予防」や経営陣が確認できる「情報保護開示」といった制度的な指標を前面に押し出しました。 パク・グァンスンCISOは、セキュリティコンサルティングと公益的な脆弱性報告活動を並行して行ってきた経験から、「セキュリティ負債」という概念と、人的ミスを前提とした「ガードレール」の設計を最も強く推しました。
