韓國銀行業個資外洩擴及 7 家金融公司，新韓銀行約 2 萬 5,000 人受害，被入侵的是對外開放的貸款仲介查詢網站與員工業務支援系統。據韓媒轉述，金融保安院指攻擊三家大型銀行的 IP 幾乎相同，並發現中文 AI 駭客工具的使用痕跡。金監院 10 月 6 日對新韓轉為現場檢查，國務總理韓成淑同日下令清理閒置網站。
（前情提要：Codex + DeepSeek 駭客用 AI 代理攻陷 48 國、395 家設施系統）
（背景補充：英國 AI 安全研究所評測 Claude Mythos：能自主完成 32 步企業網路攻擊模擬）
重點摘要
- 韓國 7 家金融公司個資外洩，新韓銀行約 2 萬 5,000 人受害
- 金融保安院指攻擊 3 家銀行的 IP 幾乎相同，有中文 AI 駭客工具痕跡
- 金監院 10 月 6 日對新韓轉現場檢查，總理下令清理閒置網站
韓國銀行業的個資外洩事件，從 10 月 1 日公開至今已進入第 6 天。據韓媒報導，確認受害的金融公司共 7 家。除了新韓銀行、KB 國民銀行與韓亞銀行，還有 BNK 釜山銀行、Yegaram 儲蓄銀行、Welcome 儲蓄銀行與現代資本（Hyundai Capital）。大型銀行中，新韓銀行外洩約 2 萬 5,000 人最多，KB 國民銀行 119 人，韓亞銀行 89 人。
攻擊集中在對外開放的查詢與業務支援系統。新韓被入侵的是貸款仲介專用的簡易查詢網站。KB 國民是員工用的行動業務支援系統，韓亞則是營業支援系統（ODS）。據報導，網路銀行與手機銀行等核心交易系統沒有被攻破。
據韓媒Herald Business社論轉述，金融保安院指出，攻擊新韓、KB 國民與韓亞三家銀行的 IP 幾乎相同。金融保安院也發現 AI 駭客工具的使用痕跡，這款工具由中國開發、以中文為基礎。金融監督院（金監院）10 月 6 日表示，攻擊嘗試的 IP 共 33 個，去除重複後是 28 個。金監院也說，攻擊者可能經多國 IP 迂迴以躲避追蹤，只看 IP 所在地，難以確定實際攻擊者的位置。
10 月 6 日事件有兩項新進展。金監院對新韓銀行的調查升級為正式的現場檢查。總理韓成淑也下令政府與公共機關，立刻清理沒在營運或放置不管的網站。
新韓外洩 2 萬 5,000 人，超過個資法 1 萬人門檻
新韓銀行 9 月 30 日向金監院通報貸款相關個資外洩，10 月 1 日對外公開。新韓表示，客戶因此產生的損失將全額補償。金融當局 10 月 2 日召開緊急會議，要求銀行與卡片公司檢查資安後回報。
據 Newsis 報導，這次是外部人士以繞過認證的異常方式，進入新韓部分貸款相關服務。外洩項目包括客戶姓名、電話、年收入與貸款額度試算。部分客戶的住民登錄號碼（相當於身分證字號）與 CI（連結資訊）也一併外洩。外界擔心這批資料會被用來假冒貸款諮詢，成為語音詐騙等二次犯罪的目標。
韓國個資保護法以外洩 1 萬人為關鍵門檻。超過這個人數，主管機關的應對層級與金融公司的義務都會大幅加重。新韓的外洩規模超過這個門檻，其他大型銀行則在 100 人上下。
Herald Business社論指出，保險公司、證券公司與純網銀也發現外部人士存取系統的痕跡，整個金融圈因此進入緊急檢查。社論也提到，新韓、KB 國民與韓亞三家銀行過去一年投入資安超過 1,239 億韓元。社論認為，三家銀行這次仍暴露出防護沒有涵蓋到的漏洞。
友利、農協有多重認證，目前未確認外洩
友利銀行（Woori Bank）與 NH 農協銀行，目前沒有確認外洩。據韓媒Bizwatch報導，友利規定貸款仲介業務只能在指定平板上處理，並須通過憑證與生物辨識。友利也採用二階段認證，並搭配 AI 弱點檢查，工具包括資安公司 Theori 的 Xint Web 與自家開發的工具。
農協則運作外部攻擊面管理（ASM），持續找出對外暴露的網站與 App 並管理弱點。外部的異常行為會即時阻擋，存取重要系統也要經過 OTP（一次性密碼）等二次認證。農協也認為，讓貸款仲介另外查詢客戶資料的做法本身就有資安風險，所以相關業務以內部員工處理為主。
金融保安院院長朴相元（音譯）指出，有沒有被入侵，差別在於是否建置多重認證（MFA）。金融當局也認為，對外系統的弱點有沒有事先修補，同樣影響了是否被入侵。
據Sisa Journal報導，三家純網銀也被同一批 IP 試探過。KakaoBank 今年 1 月起多次偵測到部分攻擊 IP 的存取嘗試，K Bank 也確認有相同 IP 的嘗試。Toss Bank 今年 1 到 8 月間約有 10 多次存取嘗試，三家都偵測並阻擋，目前沒有個資外洩。
該刊引述一名金融圈人士說明，攻擊者通常會先對大量不特定機構試探有沒有弱點。發現弱點或沒被擋下，才會繼續攻擊。
新韓轉入現場檢查，總理下令清理閒置網站
金監院 9 月 30 日接獲新韓通報後，先展開現場點檢，釐清事實與入侵路徑。據 Newsis 報導，金監院 10 月 6 日起升級為正式的現場檢查，距離接獲通報 6 天。檢查重點是外洩的確切規模、入侵路徑，以及新韓是否違法。
Newsis 報導指出，貸款仲介屬於銀行外部人員，卻能透過新韓的系統查到年收入與貸款額度試算等敏感信用資訊。外界因此質疑新韓開放的存取權限過大、管理不足。
總理韓成淑同日出席金融與公共機關個資外洩相關部長會議，緊急指示：「請立刻整理政府與公共機關沒有營運或放置不管的網站。」韓成淑曾任 Naver 執行長。據 Newsis 分析，這道指示是因應 AI 自動化駭客的第一步。
專家指出，沒在用的網站可能成為 AI 駭客自動化程式的目標，也就是所謂的「影子 IT」（shadow IT）。影子 IT 指的是組織正式資安體系沒有掌握的 IT 資產，或是已經停止管理的資產。負責單位不明的網站、過去專案留下的 API、連接合作廠商的伺服器，都是常見例子。目前韓國中央行政機關、地方政府與公共機關營運的公共網站約 1 萬個，行動 App 約 1,200 個。
高麗大學資訊保護研究所教授金昇柱（音譯）表示，所有連上網路的接點都要毫無遺漏地找出來。他說：「不知道要保護的對象是什麼，就無法強化資安。」他也把放著不處理的資安風險稱為「資安債務」（security debt）。
Newsis 報導指出，過去閒置網站不會直接造成大規模駭客事件。原因是駭客要逐一找出伺服器與弱點，得花大量時間與人力。AI 代理投入網路攻擊後，AI 能很快找出暴露在網路上的閒置網站與伺服器，並找到弱點。
金融當局已對全金融圈發出自我檢查清單。銀行與卡片公司的期限是 10 月 6 日，證券、保險、儲蓄銀行與電子金融業者則是 10 月 8 日。各業者須在期限前完成檢查與補強，並向金融當局回報。金監院對新韓的現場檢查結果，目前尚未公布。
常見問題
韓國銀行個資外洩的攻擊者是誰？
目前沒有定論。據韓媒轉述，金融保安院發現中國開發的中文 AI 駭客工具使用痕跡。金監院則說攻擊 IP 有 33 個，攻擊者可能經多國迂迴，難以只靠 IP 所在地確定位置。
友利銀行和農協銀行為什麼沒有個資外洩？
金融保安院院長朴相元指出，差別在於是否建置多重認證。友利的貸款仲介業務限用指定平板並經生物辨識，農協重要系統需 OTP 二次認證，兩家都不在 7 家受害名單中。
📍相關報導📍
AI 變聲電話騙到義大利銀行 9500 萬歐元，其中 3600 萬換成比特幣
