SecurityHeroblog
セキュリティの基本8閲覧

新韓銀行の融資情報流出、自分の所得を知っている電話ほどかけ直す

新韓銀行で融資を検討した約2万5千人の名前・電話番号・年収・融資限度額が流出したと報じられました。相手が自分の情報を正確に知っているからといって、銀行員である証拠にはなりません。今すぐやるべきこと二つと、まだ分かっていないことを整理しました。

インターホンの向こうの声

夕方、マンションのインターホンが鳴ります。

「302号の金○○様でいらっしゃいますよね? 管理事務所です。先月の管理費が○○万ウォンになっていて、精算するものがありまして。少しドアを開けていただけますか?」

名前が合っています。部屋番号も合っています。管理費の金額まで合っています。ここまで来ると、ほとんどの人はドアを開けます。

ところが、一つだけ変えてみましょう。その月の管理費請求書の束がまとめて外に漏れていたとしたら? 請求書を手にしている人なら、誰でも同じことを言えます。自分の名前と金額を知っていることは、もはや管理事務所の職員である証拠にはなりません。

今日、新韓銀行でこうした「請求書」が漏れたという報道が出ました。

何が流出したのか

事実 新韓銀行で融資関連の顧客情報が外部に流出したと報じられました。銀行が明らかにした規模は約2万5千人です。

事実 流出した項目は次のように報じられました。

項目 分かりやすく言うと
名前 自分を名前で呼べる
電話番号 自分にかけられる
CI(連携情報) 複数のサービスで「この人が同じ人か」を照合するときに使う個人別の識別値
年収 自分が1年に稼ぐお金
算出された融資限度額 銀行が計算してくれた「ここまで借りられます」という金額

対象は、新韓銀行のウェブで融資限度額を簡易照会した人、あるいは融資を申し込み・相談した人たちです。そのうち、銀行が流出対象として確認した人たちです。

事実 顧客がログインして使う一般のインターネット・モバイルバンキングが突破されたわけではないと報じられました。自分の口座残高や振込画面が渡った事件ではないという意味です。

インターホンのたとえに戻ると、こうなります。玄関の鍵を盗まれたのではありません。管理費の請求書が漏れたのです。 ドアはまだ施錠されています。ただ、外にいる誰かが、これからは自分のことをとてもよく知っているふりをできるようになりました。

では、どんな電話が来る可能性があるのか

推定 以下は私たちが懸念している場面です。実際にこのような電話が来たという報道は、今日までありません。

知らない番号から電話が来ます。「新韓銀行の融資相談チーム」だと言います。自分の名前を呼びます。自分が以前に照会した融資限度額を正確に言います。そしてこう続けます。「もっと低い金利に借り換えられますよ。そのためには、まずこのアプリをインストールしてください。」あるいは「既存の融資を先にこの口座に返済していただく必要があります。」

推定 この場面が怖い理由は、嘘が一つも混ざっていないように聞こえるからです。名前、電話番号、所得、限度額。四つとも本物です。人は、相手が自分について正しいことを何度も言うと、その人を信じるようになります。インターホンで管理費の金額を聞いてドアを開けるのと同じです。

なぜ通じるのか — そして、どこで食い違うのか

事実 本物の銀行は、電話やメッセージでアプリのインストールをさせません。既存の融資を個人口座に返済するように言うこともありません。

ここが核心です。相手がどれだけ多く知っているかは、もはや何も証明しません。請求書が漏れた日には、請求書の内容をすらすら読み上げる人のほうが、むしろ怪しいかもしれません。

では、何を見るべきでしょうか。誰が先にかけたかです。インターホンが鳴ったとき、ドアを開ける代わりに、自分から管理事務所に直接電話すればいいのです。管理事務所の番号は、自分がすでに知っています。その番号にかけた電話で応じる人は本物です。

どうやって流出したのか

事実 攻撃手法としてクレデンシャルスタッフィングが取り上げられたと報じられました。ただし、確定はしていません。

クレデンシャルスタッフィングを分かりやすく言うと、こうです。他のサイトですでに漏れたIDとパスワードを持ってきます。それをあのサイト、このサイトに一つずつ入れてみます。同じパスワードを複数の場所で使う人が多いので、そのうち一部は開きます。

事実 流出した場所がどこなのかは、報道によって表現が異なります。「融資関連のウェブ簡易照会サービス」という報道があります。「融資募集人が使う別の業務システム」という報道もあります。融資募集人とは、銀行の代わりに融資の顧客を集めてくる人です。

推定 クレデンシャルスタッフィングが正しいなら、問題の出発点は新韓銀行の外である可能性があります。他の場所で盗まれたパスワードが、ここで鍵として使われたという意味ですから。だから、やるべきことのリストにパスワードが入ります。誰のアカウントが使われたのか(顧客なのか、融資募集人なのか)は、まだ分かっていません。

数字で見た規模

この事件で報じられた数字は二つだけです。互いに比べてみると、意味が見えてきます。

数字 いつ・誰が 意味
2万件前後 初期報道 最初に知られた規模
約2万5千人 銀行発表基準 現在までに確認した流出対象。調査によって増える可能性があると報じられた

事実 同じ日のうちでも、数字が一度大きくなりました。初期報道より銀行発表が約5千人多いです。そして、さらに増える可能性があるとしました。今の数字は確定値ではなく中間集計として読むのが正しいです。

推定 一つだけは必ず区別しておいてください。2万5千は情報が流出した人の数です。お金を失った人の数ではありません。 被害が出たという報道はまだありません。請求書が漏れた家が2万5千軒という意味であって、ドアが開いた家が2万5千軒という意味ではありません。

銀行と当局は何をしたのか

事実 報道によると、銀行は9月30日に流出を把握しました。金融監督院は緊急の現場調査に入りました。金融委員会と金融監督院は10月1日に会議を開きました。

事実 銀行は、外部IPを遮断し、該当サービスを停止し、新しいセキュリティポリシーを適用したと明らかにしました。IPはインターネットで使う住所です。問題のアクセスが来ていた住所をブロックしたという意味です。

事実 鄭相赫(チョン・サンヒョク)新韓銀行長が謝罪しました。流出によって生じた顧客の損害は全額補償すると約束したと報じられました。

自分が今やるべきこと

新韓銀行で融資限度額を照会したり、融資を検討したことがあるなら、自分が2万5千人の中に入っている可能性があります。確認されるまでは、入っているものとして動くほうがよいでしょう。

1. 融資の話で電話が来たら、まず切る。 そして、新韓銀行のアプリか公式代表番号に自分からかけ直します。インターホンが鳴ったら、ドアではなく管理事務所の電話を取るということです。相手が自分の名前・所得・限度額を正確に言っても同じです。むしろ、そうであればなおさらです。

2. 銀行・金融サイトのパスワードが他のサイトと同じなら、今すぐ変える。 今回の手口として取り上げられたのが「他の場所で盗まれたパスワードを入れてみること」です。同じパスワードを使っている間は、他のサイトの流出が自分の銀行のドアの前までついてきます。

覚えておく基準は一つです。かかってきた電話ではなく、自分がかけた電話だけを信じる。

私たちが分からないこと

以下は今日(10月1日)時点で確認されていないことです。私たちはこれらを推測で埋めません。

  • 実際に詐欺に使われたのか。 流出した情報が融資詐欺やボイスフィッシングに使われたという報道も、当局の警告も、まだありません。上記の電話の場面は懸念です。
  • 住民登録番号が含まれていたのか。 該当システムに住民番号が「入っていた」という報道があります。しかし、流出項目を列挙した報道には住民番号がありません。私たちは、含まれていたとも、含まれていなかったとも言いません。
  • どこが突破されたのか。 融資募集人の業務システムなのか、顧客向けの簡易照会サービスなのか、報道によって異なります。
  • 誰のアカウントが使われたのか。 クレデンシャルスタッフィングだったとしても、顧客アカウントなのか融資募集人アカウントなのか分かっていません。手口そのものもまだ確定ではありません。
  • いつからいつまでだったのか。 流出が起きた期間が分かっていません。
  • 自分に連絡が来るのか。 被害者に個別通知をするのか、するならいつ、どのような方法でなのか分かっていません。
  • 補償をどう受けるのか。 「全額補償」の具体的な方法と申請手続きが出ていません。
  • 規模が確定なのか。 2万件前後と約2万5千人、二つの数字が報じられました。調査結果によって増える可能性があります。
  • 攻撃主体。 誰がやったのかについての報道はありません。私たちも推定しません。

この記事は報道のみを基に書きました。新韓銀行のお知らせ原文や金融当局のプレスリリースのような一次資料は確認できませんでした。流出規模・経路・住民番号が含まれるかどうかは報道間で食い違っており、詐欺への悪用事例は確認されていません。

出典

一次出典(新韓銀行のお知らせ・謝罪文の原文、金融監督院・金融委員会のプレスリリース)は確保できませんでした。以下はすべて報道です。

基準日 2026-10-01。この記事は私たちのハニーポット観測ではなく、報道を改めて整理したニュース編です。そのため、攻撃タイムライン・MITRE・IOCブロックとIP・認証情報の引用がありません。記事の文章は転載せず、事実だけを私たちの言葉で書き直しました。数字は報じられた二つの値だけを使いました。電話の場面は流出項目を見て私たちが推測した懸念であり、報じられた事例ではありません。