韓国の暗号資産取引所大手Bithumb（ビッサム）が2026年10月28日、社内の従業員向けモバイルシステムに外部からの不正アクセスがあったと公表した。個人情報が持ち出された可能性があるという。
顧客の仮想通貨（暗号資産）の資金には影響がないとしているが、被害の全容はまだ明らかになっていない。同時期に韓国の金融機関を狙ったサイバー攻撃が相次いで発覚しており、金融監督当局が調査を進めている。
この記事では、今回の不正侵入で何が起きたのか、韓国金融業界を取り巻くサイバー攻撃の状況、そしてBithumbが2026年に経験した2度目のトラブルについて初心者にもわかるように解説する。
Bithumbの社内システムで何が起きたのか
侵入の経緯と発見のタイミング
Bithumbは10月28日午前、従業員が業務連絡やメッセージのやり取りに使う社内向けモバイルシステムに、外部の第三者が侵入したと発表した。個人情報が持ち出されたとみられている。Bithumbは韓国で取引量2位の暗号資産取引所だ。
同社が侵入を発見したのは前日の10月27日。韓国インターネット振興院（KISA）と個人情報保護委員会に届け出ており、聯合ニュースによれば、顧客情報が含まれている可能性も含めて正確な被害範囲を分析中だという。
Bithumbが強調しているのは、侵入されたシステムが取引プラットフォームとは別の独立したシステムだという点だ。同社は「この経路で顧客の仮想資産にアクセスすることはできない」と説明している。
取引プラットフォームとの分離が意味すること
暗号資産取引所のシステムは大きく分けて、顧客の資産を管理するウォレットシステムと、会員情報や従業員の業務を管理する内部システムに分かれている。今回狙われたのは後者の内部システムだ。
取引所のセキュリティ事故では、ウォレットへの攻撃で資金が盗まれるケースが最も深刻だ。その点でBithumbは「資金は安全」と強調する。ただし、個人情報の漏洩はフィッシング詐欺や標的型攻撃（特定の人物を狙って偽メールや偽サイトに誘導する手口）に悪用されるリスクがある。
影響を受けた人数や、入出金機能への影響があったかどうかは公表されていない。判明しているのは、外部の第三者が社内システムに入り込み、個人情報を持ち出したという事実だけだ。
韓国の金融機関を狙うサイバー攻撃が同時多発
同時期に判明した他社の被害
今回のBithumbへの侵入は、孤立した事件ではない。韓国の金融監督院（FSS）は10月28日、Bithumbを含む金融機関3社の状況を評価していると明らかにした。
大手証券の大信証券（Daishin Securities）は、顧客3万8,490人分の個人情報と信用情報が外部からの攻撃で流出したと発表した。資産運用会社の未来アセット（Mirae Asset）グローバル・インベストメンツは、一部のウェブシステムへの不正アクセスを検知して遮断したが、投資家情報への影響はなかったとしている。
金融監督院の危機感
金融監督院のイ・チャンジン院長は10月28日、銀行持ち株会社の会長らとの会合で「大手金融投資会社で昨日、全般的にハッキング事件が起きたと認識している」と述べた。今月に入ってから10月14日時点で、韓国の金融機関16社がサイバー攻撃を受けていたという。
16社という数字は、1つの国の中ではかなりの規模だ。金融機関が集中して狙われる背景には、顧客の個人情報や信用情報に高い価値があることが挙げられる。暗号資産取引所もまた、直接的に資金を狙われる対象になりやすい。
証券会社と資産運用会社が同時期に被害を公表したことを合わせると、今回の一連のインシデントは特定の取引所だけの問題ではない。韓国金融業界全体のセキュリティ体制が試されている局面だ。
Bithumbにとって2026年2度目の内部統制問題
2月に起きた過大入金事故
Bithumbにとって2026年は、安全管理の面で苦しい1年になっている。2月には、顧客への誤った入金処理が起きた。本来なら62万ウォン（約6万7,000円）を付与すべきところを、誤って62万BTC（ビットコイン）として入金したのだ。
62万BTCは当時の時価で400億ドルを超える規模だ。幸いにも大きな実害は回避されたが、内部統制の甘さが露呈した形になった。当時のイ・ジェウォンCEOは「内部システム統制の欠陥を痛感している」と認めている。
内部統制の課題は続く
2月の事故から8か月余り。今回の社内システムへの不正侵入は、また別の弱点を突かれたことになる。取引プラットフォーム本体とは分離されていたことが幸いしたが、従業員の業務システムに外部から入り込まれた事実は重い。
セキュリティの専門家の間では、社内コミュニケーションツールが攻撃の入口になる事例が世界的に増えている。従業員の端末やアカウントを狙う手口は、技術的には高度ではないケースも多い。人間の操作ミスや認証情報の管理不備を突く攻撃は「ソーシャルエンジニアリング」と呼ばれ、どんなに壁を固めても内側から崩されるリスクが常にある。
要するに、取引プラットフォームの防御だけでは不十分ということだ。社内システムや従業員のセキュリティ意識も含めた総合的な対策が求められている。Bithumbに限らず、韓国の金融機関はサイバー攻撃の標的になりやすい環境が続いており、情報開示のスピードと透明性も含めた対応力が問われている。
この記事のポイント
- Bithumbが社内従業員向けモバイルシステムへの不正アクセスを10月28日に公表した
- 個人情報の持ち出しが確認されているが、顧客の仮想資産への影響はないと説明している
- 同時期に大信証券で3万8,490人分の情報流出、未来アセットでも不正アクセスが検知された
- 韓国の金融機関16社が10月14日までにサイバー攻撃を受けていたと金融監督院が明かした
- Bithumbは2月にも62万BTCの誤入金事故を起こしており、内部統制の課題が続く
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。