[イーデイリーLEE YOU-RIM 記者] 最近、国内の金融業界へのハッキングに利用されたと推定される中国製の人工知能（AI）侵入ツール「ARTEX（アルテックス）」が、国内企業約90社を標的とした大規模なハッキングにも悪用されていたことが明らかになりました。今回、警察に逮捕されたハッカーは、ブログやYouTubeなどでハッキングを独学したIT非専攻者であり、生成AIを活用して短期間で膨大な個人情報を盗み出したことが調査で判明しました。

ソウル警察庁サイバー捜査課は、情報通信網法違反（侵入・秘密漏洩）および恐喝・恐喝未遂の容疑で、首謀者のA（32）氏を検察庁に拘束送致したと26日、明らかにしました。共犯者6名は、在宅の状態で警察の取り調べを受けています。

警察によると、彼らは昨年9月から今年10月にかけて、生成AIなどを利用して国内の企業約90社のシステムに侵入しました。これにより、塾、病院、ゴルフ場、大企業の系列会社などから、個人情報820万件以上や社内業務資料などを盗み出した疑いが持たれています。

調査の結果、首謀者のA氏はIT専攻ではありませんでしたが、ブログやYouTubeなどを通じて独学で技術を習得した後、2019年から2022年までセキュリティ企業でペネトレーションテスト業務に従事していたことが明らかになりました。犯行初期、A氏はウェブサイトの脆弱性探索ツールなどを利用して、手作業でハッキングを行っていました。従来のツールには、侵入対象の環境に合わせて攻撃者が状況に応じたツールを自ら選び、コマンドを一つひとつ入力しなければならないという限界がありました。

しかし、A氏が今年8月末から、AI自律侵入システムである「アルテックス」とコーディングエージェントツールを本格的に組み合わせて活用し始めたことで、犯行の様相は急変しました。標的となるサイトを指定するだけで、システムが自ら状況に適したツールを選び、データベース（DB）や管理者ページの脆弱性などを突いていきました。ユーザーが各段階で介入しなくても、AIが自ら判断して侵入を実行したため、犯行の速度と規模が急速に拡大しました。

A氏は、ポータルサイトの検索上位に表示される企業のうち、「和解金を支払うだけの支払い能力があるところ」を標的としました。

業種別では、保険販売業者3社から最も多い322万件が流出し、葬儀会社3社から143万件が盗まれました。 続いて、ゴルフ場21カ所（120万件）、学習塾12カ所（99万件）、病院5カ所（22万件）、大学4カ所（2万件）、その他の業者42カ所（112万件）の順でした。 流出した情報には、氏名や住民登録番号、連絡先、住所などが含まれていました。病院の患者診療相談履歴、学習塾の未成年者の個人情報、大企業の系列会社の管理システム、地域の第2金融圏の社内掲示板の情報なども含まれていました。

彼らはハッキング後、被害企業側に「要求に応じなければ流出事実を公表する」と脅迫するメールやメッセージを繰り返し送信しました。38社を対象に、仮想通貨（テザー）など計3億6000万ウォン相当の金銭を要求していたことが調査で判明しました。 ただし、警察が早期に摘発したため、実際の恐喝額は零細企業1社が送金した30万ウォン（恐喝容疑）にとどまり、残りの3億6000万ウォン相当の要求については恐喝未遂の容疑が適用されました。

警察は今回の事件を、AI犯罪の参入障壁が低下していることを示す代表的な事例と位置づけ、捜査においても「独自開発のオーダーメイド型AI」を動員して対応しました。

ソウル警察庁は、国家捜査本部から高性能AIコンピュータを提供してもらい、捜査資料が外部に送信されない「内部ネットワーク生成型AI分析システム」を構築し、情報通信網への侵入ログ分析など、専用ツール3種を開発して適用しました。捜査チームは膨大なデータを迅速に分析し、捜査開始から4ヶ月で関与者全員を検挙し、盗まれた個人情報を回収しました。

警察は、まだ被害届が提出されていない企業に関連する容疑や、犯罪収益の追跡など、捜査を継続する方針です。警察関係者は、「AIを悪用した高度化する犯罪に対応し、捜査現場でのAI導入を拡大する計画です」とし、「情報流出を脅かされても、犯人と交渉したり金銭を送ったりせず、直ちに通報してください」と呼びかけました。