AI・テクノロジー

韓国の銀行を襲ったAI攻撃「ARTEX」――Claude Code悪用の手口と教訓

2026年9月末から韓国の銀行が相次いで不正アクセスを受け、約6万8000人の個人情報が流出しました。中国で開発された自律型ペネトレーションテストAI「ARTEX」とClaude Codeが攻撃に使われたとみられています。手口、狙われた弱点、各国の対応、日本の金融機関への示唆を整理します。

claude

• 10 min read
Share

2026年9月下旬から10月初めにかけて、韓国の新韓銀行やKB国民銀行、ハナ銀行などの金融機関が相次いで不正アクセスを受けました。当初は少なくとも7つの金融機関で約6万8000人分の個人情報が流出したと報じられ、その後、標的になった銀行は少なくとも9行に増えたとされています。

この事件が世界の注目を集めているのは、規模よりも手口です。攻撃には、中国で開発されたオープンソースのAIペネトレーションテストツール「ARTEX」と、Anthropicのコーディングエージェント「Claude Code」が使われたとみられています。李在明（イ・ジェミョン）大統領は閣議で「一部のハッキングでAIが使われた兆候があり、国民に大きな懸念と不安を与えている」と述べ、徹底調査を指示しました。

本記事では、ARTEX攻撃の経緯と手口、日本への教訓を整理します。

この記事のポイント

  • 韓国の金融機関（当初7機関、のちに少なくとも9行）で約6万8000人分の個人情報が流出
  • 攻撃者のサーバーからClaude Codeのセッション履歴とARTEXの設定ファイルが見つかった（CrowdStrike）
  • 狙われたのは基幹系ではなく、融資仲介業者向けポータルや職員用モバイルシステムなどの「周辺系」
  • ARTEXの開発者はクローズドソース化を表明したが、派生版は今も出回っている

背景：ARTEXとはどんなツールか

ARTEXは、開発者がGitHubで公開していた「AI 自主渗透测试系统（AI自律型ペネトレーションテストシステム）」です。利用者が目標と許可範囲を与えると、AIが本物のレッドチームのように自ら計画を立て、作業を分担して実行する仕組みでした。

セキュリティブログpiyologのまとめによると、主な特徴は次の通りです。

  • planner と worker: plannerが次の作業を決め、workerがそれを1件ずつ実行して結果を書き戻す
  • 資産グラフと探索グラフ: 調べた資産と探索の進み具合をグラフで管理する
  • 通信の記録: 通信を記録型プロキシ経由にし、エージェントが記録を検索して弱点を探す
  • 承認ゲートと人の介入: ツールの呼び出しを許可・確認・拒否に振り分け、実行中に人が介入できる

ARTEX自体はLLMを持たず、AnthropicやOpenAI、およびそれらと互換のAPIを外部から呼び出して動きます。2026年7月26日に最初の版が公開され、9月24日のv0.3.14までに18版を重ねました。9月3日には、百度のセキュリティ部門が主催した「Agent+」攻防能力チャレンジの決勝で優勝しています。

READMEは用途を「個人の学習、コード研究、ローカルの技術検証」に限り、実際のサイトやオンラインサービスへのスキャンや攻撃を禁じていました。9月19日の版では、ログイン前の免責同意や、政府・教育機関のドメインを対象から外す規則も加えています。それでも、こうした「利用規約による歯止め」は実際の悪用を止められませんでした。

攻撃の経緯：何が、いつ起きたのか

韓国の国会に提出された資料などによると、攻撃の時系列は次の通りです。

日時 出来事
9月27日〜29日 KB国民銀行への攻撃（27日23時19分〜29日18時）
9月28日〜30日 新韓銀行への攻撃（28日18時4分に最初の流入、30日0時15分まで）
10月2日 韓国のセキュリティ企業研究者が、攻撃に使われたサーバーのHTMLに「ARTEX」の文字列を確認。同日、金融委員会が緊急会議
10月4日 金融業界の緊急点検会議。金融保安院長が「IPにARTEXの痕跡があった」と発言
10月6日 消費者警報「注意」を発令し、1か月の「二次被害特別対応期間」を設定
10月7日 CrowdStrikeが攻撃者インフラの分析結果を公表
10月8日 ARTEX開発者が更新終了とクローズドソース化を表明

流出した情報は、氏名や電話番号に加えて、年収、ローン限度額、利用中の融資商品、一部では住民登録番号にまで及びました。新韓銀行だけで約2万5000人分とされます。金融当局は、これまでのところ顧客の資金が流出するなどの二次被害は確認していないと発表しています。

CrowdStrikeの分析：AIエージェントは何をしていたのか

決め手になったのは、米セキュリティ企業CrowdStrikeの調査です。同社は攻撃者が管理するインフラで公開状態のディレクトリを見つけ、そこからClaude Codeのセッション履歴、ARTEXの設定ファイル、Claudeのメモリファイルを回収しました。記録に残っていた標的は、報道された金融機関と重なっていたといいます。

分析から見えてきた構成は次の通りです。

  • インフラは2台のサーバーで、香港のIPアドレスが主たる拠点。別のサーバーでARTEXが動いていた
  • ARTEXの主なLLMには DeepSeek v4.1-flash を使用。API再販業者とみられるサービス経由で接続していた
  • 追加のClaude Codeセッションでは、Zhipu AIの GLM-5.3 と Grok 4.6 も併用していた

攻撃者は複数のLLMを組み合わせて「攻撃チーム」を組み立てていたことになります。

一方で、攻撃者の運用はずさんでした。ログを公開ディレクトリに放置しただけでなく、同じAIツールで自分の履歴書まで作らせていたため、身元や連絡先、Telegramのアカウント情報が露出しました。CrowdStrikeは、広東省茂名市に住む26歳の中国人である可能性を挙げつつ、記載された生年に食い違いがあることから、身元の確定はできないとしています。同社は中国語話者で金銭目的の可能性が高いと「中程度の確度」で評価していますが、特定の個人やグループへの帰属はしていません。

記録からは、盗んだデータの売り方を事前に決めていなかったこともうかがえます。攻撃者はClaudeに対して、韓国のデータを扱うTelegramの売買グループを提案させていました。

狙われたのは「周辺系」：基幹システムの外側にあった穴

今回の攻撃で注目すべきは、侵入経路です。大手銀行はインターネットバンキングなどの基幹システムには大きな投資をしてきましたが、攻撃者が狙ったのはその外側でした。

  • 外部の融資仲介業者（ローン募集人）向けの照会ポータル
  • 職員が使うモバイル業務アプリ
  • 営業支援システム

これらは認証が比較的弱く、セキュリティの優先度も低くなりがちでした。西江大学のイ・ヒョビン教授はDWの取材に対し、「融資仲介業者向けポータルや職員用の社内モバイルアプリのような補助的なシステムは、十分なセキュリティの注意が払われていなかったようだ」と指摘しています。

AIエージェントは、こうした周辺系を大量に探索し、弱い入口を見つける作業を得意とします。人間なら時間がかかる偵察や試行を休まず並行して続けられるため、「見落とされがちな小さな穴」が見つかりやすくなります。

各方面の反応：政府、開発者、市場

韓国政府は、大統領と首相がそろって強い対応を指示しました。首相は閣議で「AIを悪用したとみられ、フィッシングに使われれば二次被害につながりうる」「同様の手口が金融以外の産業や公共部門に広がる恐れがある」と警告しています。金融当局は攻撃に関わる28個のIPアドレスを業界と共有し、インターネットに公開しているシステムの監査、アクセス制御と認証の強化、不要なデータ露出の制限、脅威情報の共有を各社に求めました。IPアドレスは米国、日本、ドイツなど十数か国にまたがっていました。

ARTEXの開発者は10月8日、「悪用は意図に反する」として、更新の終了とソースコードの非公開化を表明しました。ただし、すでに出回ったコードを基にした英語版や韓国語版の派生ツールが存在しており、公開停止の効果は限定的です。韓国のセキュリティ企業の観測では、インターネット上に露出したARTEX関連の固有IPは14の国と地域で359件に上りました。

中国外務省は「承知していない」としたうえで、ハッキング行為には一貫して反対していると述べています。市場では、韓国のサイバーセキュリティ関連株が一時最大30%上昇しました。

影響と今後：デュアルユースAIをどう扱うか

今回の事件は、いくつかの重い問いを投げかけています。

1. 攻撃の敷居が下がった JBpressは「専門知識がなくてもハッキングできる時代」と表現しました。攻撃者の運用の稚拙さは、裏を返せば、高度な技術がなくてもAIエージェントに任せれば金融機関に侵入できたことを示しています。

2. 防御ツールと攻撃ツールの境界 ペネトレーションテストは本来、守る側が弱点を見つけるための技術です。ARTEXのように自律性の高いツールほど、許可のない相手に向ければそのまま攻撃ツールになります。利用規約や免責同意では悪用を防げないことが、今回はっきりしました。

3. LLM提供者とAPI流通の責任 攻撃者は複数のLLMを使い、再販業者を経由してアクセスしていました。モデル提供者による悪用検知や、API再販という「抜け道」をどう管理するかが、今後の論点になります。

4. 日本への示唆 攻撃元のIPアドレスには日本も含まれていました。日本の金融機関でも、融資の代理店向けシステム、職員用アプリ、外部委託先との接続など、基幹系の外側にある入口は少なくありません。周辺系を含めた資産の棚卸し、多要素認証の徹底、異常なアクセスの早期検知が急務です。防御側もAIを使い、攻撃と同じ速さで弱点を探して塞ぐ体制が求められます。

よくある質問

ARTEXとは何ですか？

ARTEXは、中国の開発者がGitHubで公開していたオープンソースの自律型AIペネトレーションテストツールです。外部のLLMを呼び出し、計画役と実行役のエージェントが協力して脆弱性の調査を自動で進めます。2026年10月、韓国の銀行への攻撃に使われたとみられたことを受け、開発者は更新を終了し、ソースコードを非公開にしました。

韓国の銀行へのAI攻撃では、どんな情報が流出したのですか？

報道によると、当初は7つの金融機関で約6万8000人分の個人情報が流出したとされます。内容は氏名、電話番号、年収、ローン限度額、利用中の融資商品などで、一部では住民登録番号も含まれていました。韓国の金融当局は、現時点で顧客資金の流出といった二次被害は確認していないとしています。

攻撃にClaude Codeが使われたというのは本当ですか？

米セキュリティ企業CrowdStrikeは、攻撃者のサーバーからClaude Codeのセッション履歴やClaudeのメモリファイルを見つけたと報告しています。ARTEXの主なLLMはDeepSeekで、Claude Codeのセッションでは別のLLMも併用されていました。複数のAIツールを組み合わせて攻撃していたとみられます。

攻撃者は特定されたのですか？

特定には至っていません。CrowdStrikeは中国語話者で金銭目的の可能性が高いと中程度の確度で評価しており、身元に関する手がかりも見つけましたが、記述に矛盾があるため確定はできないとしています。韓国警察が捜査を進めています。

日本の金融機関や企業はどんな対策をとるべきですか？

今回狙われたのは、融資仲介業者向けポータルや職員用モバイルアプリなどの周辺系システムでした。基幹系だけでなく、外部に公開しているすべての入口を棚卸しし、多要素認証の徹底や不要なデータ露出の制限、異常なアクセスの早期検知を進めることが重要です。

まとめ

韓国の銀行を狙った今回の攻撃は、自律型のAIエージェントが現実の金融機関への侵入に使われた事例として、大きな転換点になりそうです。攻撃者は高度な技術者ではなかった可能性が高い一方、ARTEXとClaude Code、複数のLLMを組み合わせることで、複数の銀行の周辺系システムを短期間で突破しました。

開発者がコードを非公開にしても、出回ったツールは消えません。守る側に求められるのは、基幹系の外側にある入口まで含めて弱点を洗い出し、AIを使った攻撃と同じ速さで対処できる体制を整えることです。

参考ソース

関連記事