韓国の金融機関で相次いだ不正アクセスと情報流出

融資募集人や職員向けの業務支援サービス、外部からアクセスできるウェブページなど、管理の関心が比較的薄かった外部接点を狙い、無作為な入力による有効な顧客番号の確保や、権限なしにアクセスできるWeb脆弱性、本人確認手続きの不備などを突いて情報を照会・収集する手法が確認されています。

当局や関係者の言及から、AIペネトレーションテストツールなどを活用した迅速な自動化攻撃や、APIの権限検証の不備を突いた探索が行われた可能性が考えられます。