はじめに：韓国のサイバー防御への懸念
世界的に高速インターネットとデジタル革新で知られる韓国は、その成功ゆえにハッカーの主要な標的となっています。しかし、この状況は同国のサイバーセキュリティ防御がいかに脆弱であるかを露呈しています。
韓国は、クレジットカード会社、通信事業者、テクノロジースタートアップ、政府機関など、広範囲にわたる国民に影響を与える一連の高名なハッキング事件に揺れています。これらの事件では、関係省庁や規制当局が並行して対応に追われ、時には連携が取れない状況が見られました。
脆弱性の原因：分断されたシステムと人材不足
批評家たちは、韓国のサイバー防御が政府省庁や機関の分断されたシステムによって妨げられていると指摘しており、その結果、対応が遅く、連携が取れないことが多いと報じられています。サイバー攻撃発生時に「最初の対応者」となる明確な政府機関がないため、同国のサイバー防御はデジタル化の進展に追いつくのに苦慮しています。
ソウルを拠点とするサイバーセキュリティ企業Theoriの最高経営責任者であるブライアン・パク氏は、TechCrunchに対し、「政府のサイバーセキュリティへのアプローチは、危機管理問題として扱われることが多く、重要な国家インフラとしてではなく、主に事後対応型のままだ」と語っています。パク氏は、サイバーセキュリティを担当する政府機関がサイロ化しているため、デジタル防御の開発や熟練した人材の育成が見過ごされがちであると指摘しました。
韓国はまた、熟練したサイバーセキュリティ専門家の深刻な不足に直面しています。パク氏は、「現在のやり方が人材育成を妨げてきたことが主な原因だ。この人材不足は悪循環を生み出す。十分な専門知識がなければ、脅威に先んじるために必要な積極的な防御を構築し維持することは不可能だ」と述べています。
2025年の主要なサイバー攻撃事例
今年だけでも、韓国ではほぼ毎月、大規模なサイバーセキュリティ事件が発生しており、同国のデジタルインフラの回復力に対する懸念が高まっています。
- 2025年1月：コンビニエンスストア運営会社GSリテールが、ウェブサイト攻撃により約9万人の顧客の個人情報（氏名、生年月日、連絡先、住所、メールアドレス）が流出したことを確認。
- 2025年2月：韓国のゲーム会社Wemadeのブロックチェーン部門Wemixが、2月28日に620万ドルのハッキング被害に遭う。
- 2025年4月・5月：アルバイト求人プラットフォームAlbamonが4月30日にハッキングされ、2万人以上のユーザーの履歴書（氏名、電話番号、メールアドレス）が流出。4月には、通信大手SKテレコムが大規模なサイバー攻撃を受け、約2300万人の顧客データが盗まれる。
- 2025年6月：オンラインチケット・小売プラットフォームYes24が6月9日にランサムウェア攻撃を受け、サービスが約4日間停止。
- 2025年7月：北朝鮮関連のKimsukyグループが、AI生成のディープフェイク画像を用いて、防衛関連機関を含む韓国の組織を標的にサイバー攻撃を実施。ソウル保証保険（SGI）も7月14日頃にランサムウェア攻撃を受け、主要システムが停止。
- 2025年8月：Yes24が2度目のランサムウェア攻撃を受け、ウェブサイトとサービスが数時間停止。クレジットカード会社ロッテカードが7月22日から8月の間にハッキングされ、約200GBのデータが流出し、約300万人の顧客に影響。Welcome Financial Groupの貸付部門Welrix F&Iがランサムウェア攻撃を受け、1テラバイト以上の内部ファイルが盗まれ、ダークウェブに流出。Kimsukyグループが数ヶ月にわたり、韓国の外国大使館を標的にスパイ活動。
- 2025年9月：通信大手KTがサイバー侵害を報告。不正な「偽基地局」がKTのネットワークに侵入し、5,500人以上の加入者データが流出。
政府の対応と専門家の提言
相次ぐハッキング事件を受け、韓国大統領府の国家安保室は防御強化に乗り出し、複数の機関を連携させる省庁横断的な取り組みを推進しています。2025年9月には、国家安保室が「包括的な」サイバー対策を政府全体で実施すると発表。規制当局は、企業が報告していなくても、ハッキングの兆候があれば政府が調査を開始できる法改正を示唆しました。これらは、長らく韓国のサイバー防御を妨げてきた「最初の対応者」の不在に対処することを目的としています。
しかし、パク氏は、韓国の分断されたシステムでは説明責任が弱く、大統領の「コントロールタワー」にすべての権限を集中させることは、「政治化」や権限の逸脱のリスクを招く可能性があると警告しています。パク氏は、戦略設定と危機調整を行う中央機関と、権力チェックのための独立した監視機関を組み合わせたハイブリッドモデルがより良い道であると提言。このモデルでは、KISAのような専門機関が技術的な作業を担い、より明確なルールと説明責任の下で機能することになります。