九個月的攻擊嘗試已超過 2025 年全年總數
南韓央行與三家國營銀行在 2026 年 1 月至 9 月間記錄到 1,024,478 次駭客攻擊嘗試，比 2025 年全年偵測到的 934,858 次多出 89,620 次，增幅為 9.6%。這些機構表示，相關攻擊嘗試並未造成成功入侵；與此同時，針對商業銀行的其他攻擊則導致客戶資訊外洩。
目錄
提交給國民力量黨議員姜旻局（Kang Min-kuk）的數據於 10 月 11 日公布，顯示 2020 年至 2026 年 9 月累計有 4,986,964 次攻擊嘗試。中小企業銀行（IBK）占總數的 91.9%，反映該行為個人與企業客戶提供規模龐大的網路及行動銀行服務。
要理解這些數字，必須區分攻擊嘗試與確認遭入侵事件。偵測到攻擊嘗試，不代表攻擊者已進入系統或竊取資訊。反過來說，這份數據未顯示成功入侵，也不代表相關服務或外部供應商全都未受干擾或資訊未遭暴露。
其他事件凸顯了這項區別。2026 年 5 月和 6 月，外部訓練服務供應商遭入侵，導致 186 名韓國銀行員工的資訊外洩。商業銀行也曾通報客戶資料外洩，促使監管機關要求檢查可從網際網路存取的系統、強化身分驗證與存取控管，並加強分享攻擊手法及可疑 IP 位址資訊。
面臨的壓力不僅來自攻擊次數。國會揭露資料指出，安全預算未獲全數執行、國營銀行人力配置不均，以及人工智慧工具可能加速尋找系統弱點，形成新威脅。
偵測到的攻擊嘗試增加有多快？
年度數據顯示，自 2020 年以來，攻擊嘗試次數持續上升。到 2026 年 9 月為止，累計次數已約為 2020 年全年 358,800 次的 2.86 倍。這項比較尤其引人注意，因為最新數據涵蓋九個月，而非完整一年。
數據序列也顯示，攻擊嘗試增加並非始於近期商業銀行遭入侵事件：
- 2020 年：四家機構共 358,800 次攻擊嘗試。
- 2021 年：564,430 次攻擊嘗試。
- 2022 年：585,563 次攻擊嘗試。
- 2023 年：738,312 次攻擊嘗試。
- 2024 年：780,524 次攻擊嘗試。
- 2025 年：934,858 次攻擊嘗試。韓國銀行京畿 IT 中心於 10 月啟用。
- 2026 年 1 月至 9 月：1,024,478 次攻擊嘗試。
- 2026 年 10 月 11 日：最新數據透過姜旻局公布。
偵測到的攻擊嘗試衡量的是安全系統遭遇的活動，而非個別攻擊者人數或成功入侵次數。反覆發出的自動化請求可能產生大量偵測紀錄。中小企業銀行的說法也顯示，比較不同機構時，對外開放服務的規模同樣重要。
公布的總數有一處細微的數字不一致：各年度數字加總為 4,986,965 次，比所列累計總數 4,986,964 次多 1 次。這項差異不影響所呈現的趨勢，也不影響攻擊嘗試集中於中小企業銀行的情況。
中小企業銀行為何占大多數攻擊活動
中小企業銀行在統計期間累計記錄約 458.4 萬次攻擊嘗試。其次為韓國產業銀行（KDB），共 399,379 次；韓國銀行記錄 3,076 次，韓國輸出入銀行則有 510 次。
中小企業銀行將次數遠高於其他機構歸因於其網路與行動服務規模可比商業銀行。這些服務連結個人及企業客戶，使更多惡意流量有機會觸及對外開放的系統。
單憑這些數字，無法證明中小企業銀行的防禦能力弱於其他機構。該行的說明著眼於服務規模與偵測到的攻擊嘗試；四家機構則表示，這份累計數據中的攻擊嘗試均未造成資料外洩。
韓國銀行主要電腦伺服器所在的京畿 IT 中心，自 2025 年 10 月啟用後記錄到 145 次攻擊嘗試。這項數據是特定設施的紀錄，不應與央行跨系統、跨年度的總數混為一談。
最常見的已記錄攻擊是干擾服務
阻斷服務攻擊共 2,275,006 次，占累計總數的 45.6%。這類攻擊試圖讓服務無法使用，例如以大量請求癱瘓服務，或耗盡提供正常服務所需的運算資源。
其次是資訊蒐集，共 866,776 次；惡意軟體攻擊 475,026 次；未經授權存取則有 456,783 次。資訊蒐集可能包括探查系統，以辨識軟體、對外開放的功能或弱點。惡意軟體是具破壞性的軟體；未經授權存取則是試圖在未獲有效許可的情況下進入系統。
上述四類攻擊合計 4,073,591 次，因此並未涵蓋累計數據中的所有攻擊嘗試，而其他類別的細項尚未公布。
阻斷服務攻擊占比最高，也說明攻擊造成的後果不只限於資訊遭竊。即使攻擊者未控制內部系統，銀行網站或交易服務仍可能變得難以使用。
公布數據的國民力量黨議員姜旻局談到處理公共及企業金融業務的機構所面臨的風險時表示：
攻擊國營銀行可能擾亂國內外金融系統，並使敏感的政府與企業資訊面臨風險，」姜旻局說。「我們必須建立防禦措施，應對 AI 驅動的網路攻擊激增，並與金融主管機關合作進行網路攻擊模擬演練。
未通報資料外洩，但這不等於完全安全
四家機構表示，2020 年至 2026 年 9 月統計的攻擊嘗試均未造成資料外洩。不過，其他揭露資訊提及先前的服務中斷，以及韓國銀行外包廠商發生的資訊外洩事件。
2023 年 12 月，分散式阻斷服務攻擊曾使韓國銀行網站間歇性地變慢。2026 年 5 月和 6 月，外部訓練服務供應商的系統遭入侵，導致 186 名央行員工的個人資訊外洩。這些事件說明，服務中斷、銀行自身系統遭入侵，以及供應商發生資訊外洩，必須加以區分。
另一份揭露資料指出，韓國銀行截至 10 月 2 日的 2026 年攻擊嘗試次數為 136 次，而 2025 年全年為 30 次。可從網際網路存取的目標包括央行主網站、經濟統計入口網站及電子圖書館。央行表示，9 月初至 10 月 2 日期間，未偵測到成功入侵、服務中斷或資料外洩。
韓國輸出入銀行另通報，截至 10 月 5 日共有 283 次攻擊嘗試，相較之下，2025 年全年為 36 次。在這 283 次攻擊嘗試中，有 272 次來自海外 IP 位址。位址所在地只能指出流量看似來自何處，未必代表攻擊者的國籍或實際所在位置。
該行另表示，前五年偵測到 197 次攻擊嘗試。加上最新的 283 次，合計應為 480 次，而非整體累計數據所列的 510 次。統計截止時間或計算方式不同可能是差異原因，但相關資料尚未公布對照說明。
AI 攻擊警告實際證實了什麼
金融保安院於 9 月 17 日為約 160 名金融業資安主管舉辦金融 AI 資安研討會。社會民主黨議員韓昌旻取得的文件指出，會中分享了一起案例，稱其為南韓首宗涉及 AI 代理程式的金融業攻擊事件。
AI 代理程式是能使用 AI 模型執行一連串任務的軟體，而非只回答單一問題。據研討會分享的案例，攻擊者指示一個以 DeepSeek 為基礎的代理程式，尋找金融伺服器程式。
據報導，該代理程式在一天內找到並利用系統弱點、安裝可供遠端控制的軟體，並搜尋內部伺服器。遭鎖定的金融公司在進一步安裝惡意軟體前阻止了攻擊。該公司身分未公布。
金融保安院呼籲持續監控對網際網路開放的系統，並警告每年僅檢查一、兩次可能無法發現這類活動。該院也指出評估涵蓋範圍有一項不足：應用程式介面，也就是網站與應用程式交換資料的連接方式，雖納入弱點檢查，但由金融公司自行選擇要檢查哪些系統。
有報導將其後商業銀行事件與 AI 工具連結。不過，當局仍在調查 AI 所扮演的角色，包括 AI 是否自動執行攻擊的部分環節。總統李在明表示，AI 似乎涉入其中，但確切手法尚未確認。研討會案例呈現的是一項據報存在的能力，並不能證明近期每一起資料外洩事件都使用相同技術。
商業銀行客戶確有資訊外洩
近期一連串駭客事件涉及七家金融機構：新韓銀行、KB 國民銀行、韓亞銀行、BNK 釜山銀行、藝家嵐儲蓄銀行、Welcome 儲蓄銀行及 Hyundai Capital。
新韓銀行披露，未經授權的外部人士繞過一項與貸款業務連結服務的身分驗證，取得約 25,000 名客戶的個人與信用資訊。外洩資料包括姓名、電話號碼、年收入及計算出的借款額度。
新韓銀行執行長鄭相赫為事件致歉，並承諾全額賠償與事件相關的損失。首爾一家律師事務所正招募受影響客戶，準備提起損害賠償訴訟，預計每位參與者索賠 100,000 至 300,000 韓元。提告日期尚未公布。
KB 國民銀行的行動工作支援系統遭攻擊，119 名客戶的資訊受到影響。KB 國民銀行、韓亞銀行、Hyundai Capital 及 Welcome 儲蓄銀行的人員曾出席 9 月的資安研討會。新韓銀行由其金融集團主管出席，BNK 釜山銀行則未列在出席名單中。
出席紀錄顯示，數家受影響機構在事件發生前不久曾收到相關警告，但無法證明各起入侵事件分別是哪些具體缺失所致，也無法確認某項特定預防措施是否足以阻止攻擊。
安全預算不等於實際安全支出
金融主管機關提交給國民力量黨議員朴成訓的數據顯示，資訊科技故障最頻繁的 20 家金融公司在 2025 年編列 4,380 億韓元資訊安全預算，實際支出 3,050 億韓元，執行率約為 69.6%，尚有 1,330 億韓元未使用。
新韓銀行編列約 453 億韓元，實際支出 317 億韓元，據報執行率為 69.9%。該行 2026 年預算為 405 億韓元，比前一年預算減少約 10.6%。KB 國民銀行編列 676 億韓元，實際支出 393 億韓元，執行率為 58.1%。
取得支出數據的議員朴成訓將投資問題定位為公眾信任的一環：
安全投資不足不能被視為管理效率問題而輕描淡寫；這關乎民眾對金融體系的信任。
國營銀行的資料也顯示資源配置不均。韓國產業銀行的資安人員從 2024 年底的 23 人減至 2025 年底的 19 人，之後於 2026 年 6 月回升至 22 人。中小企業銀行在 2025 年底有 46 名專職資安人員，韓國輸出入銀行則有 9 人。
中小企業銀行另有一項人力統計為 72.5 名內部及外包人員，其中包括 53.5 名內部員工與 19 名外包人員。這項較廣泛的統計口徑，不應與 46 名專職人員的數字視為相同。中小企業銀行 2025 年資安投資為 661 億韓元，占 IT 總投資的 15.1%。
韓國產業銀行的預算數據存在更大的通報差異。韓文數據顯示，截至 2026 年上半年，該行資安預算為 172.31 億韓元，低於 2025 年的 176.11 億韓元。英文摘要則列為 1,723.1 億與 1,761.1 億韓元，是上述金額的 10 倍。兩種說法都指出預算減少 2.2%。
投資計畫與更廣泛的供應商問題
KB 國民銀行正考慮將 2027 年資訊安全預算提高至 1,000 億韓元以上，並升級入侵偵測與防禦系統及網頁防火牆。這項提案談的是預算規模，並非已確認增加 1,000 億韓元。
新韓銀行計畫增加資安投資，並招募 AI 資安專家與道德駭客。韓亞銀行正評估零信任架構，也就是每次都必須檢查存取權限，而不會只因使用者或裝置位於網路內就自動信任。友利銀行正考慮將預算提高超過 20%，並將專業人力增加超過 10%。
一家國營銀行代表表示，銀行會從攻擊者角度進行滲透測試，並計畫持續強化投資與檢查。這些措施的具體執行期限尚未公布。
銀行業以外的事件也顯示，承包商與保留資料可能帶來風險。某公共部門倫理教育平台逾 100,000 名使用者的資訊外洩，原因是舊系統在 2025 年 4 月更換後，承包商仍保留舊資料，未予刪除。剩餘資料隨後已刪除。
Oasis Security 也通報，懷疑汝矣島純福音教會與愛的教會發生資訊外洩。與汝矣島純福音教會相關的資料包括約 960,000 筆會員紀錄及 330,000 筆捐款紀錄。這些紀錄筆數無法證明實際受影響的不同人數。兩間教會均在調查中。
尚未釐清的問題
目前主要未解問題包括近期商業銀行攻擊者如何取得存取權限、AI 在攻擊中發揮多大作用，以及預定投資能否轉化為實際完成的安全工作。目前尚未確認七家金融機構遭遇事件的共同技術原因。
銀行數據也需要審慎解讀。統計期間不同、各機構數字經過約略取整，以及人力統計口徑不同，都限制了直接比較的可能性。四家公營機構通報未發生資料外洩，這項資訊有其意義，但無法抹去網站服務中斷及供應商資料外洩的其他證據。
監管機關已要求金融業者檢查可從外部存取的系統、強化身分驗證與權限管理，並交換威脅資訊。姜旻局呼籲進行模擬攻擊與協同演練。接下來實際的考驗，是這些措施能否涵蓋敏感資訊可能遭到存取的各項服務、介面及承包商。
重點整理
- 韓國銀行與三家國營銀行截至 2026 年 9 月記錄到 1,024,478 次駭客攻擊嘗試，比 2025 年全年總數高出 9.6%。
- 自 2020 年以來，中小企業銀行占通報累計攻擊嘗試的 91.9%。
- 阻斷服務是最大的攻擊類別，共有 2,275,006 次攻擊嘗試。
- 四家機構表示，統計中的攻擊嘗試均未造成資料外洩；但其他事件涉及服務中斷及央行訓練服務供應商遭入侵。
- 近期商業銀行事件導致約 25,000 名新韓銀行客戶及 119 名 KB 國民銀行客戶的資訊外洩。
- 當局仍在調查近期攻擊中 AI 的使用方式。
- 20 家金融公司在 2025 年編列 4,380 億韓元資安預算，實際支出 3,050 億韓元。
- 數家銀行計畫或正考慮增加投資，但尚未公布確定的完成期限。
