2013年3月20日、韓国の放送局3組織、銀行3組織、併せて6つの組織のコンピュータシステムが、サイバー攻撃が疑われる事態の中で同時に使えなくなり、銀行ATMやモバイル決済が影響を受けた[1]。韓国においては「3・20電算大乱」と呼ばれている。本稿においては「2013年韓国サイバー攻撃」と呼ぶことにする。
コンピュータシステムに被害が生じた組織は、韓国放送公社(KBS)、文化放送(MBC)、YTN、農協、新韓銀行、済州銀行であった。
大韓民国放送通信委員会(KCC)は、サイバー攻撃についての警報レベルを5段階あるうちのレベル4(関心)からレベル3(注意)に引き上げた。2009年にあった同様の事態については北朝鮮の関与が疑われたので、今回の攻撃についても疑われた。当初、韓国の当局は、農協の事例について中華人民共和国のIPアドレスと結びつけたため、北朝鮮による攻撃の疑いが高まった。インテリジェンスの専門家の間では「北朝鮮は、そのサイバー攻撃を隠すために恒常的に中華人民共和国のIPアドレスを使っている」と信じられているからである[2]。しかし、その発信元IPアドレスは農協内のプライベートIPアドレスとして割り当てられていたものであることが判明した[3]。
その後も「2013年韓国サイバー攻撃」への北朝鮮の関与は疑われ続けている[4][5]。 「2013年韓国サイバー攻撃」において使われたワイパー型マルウェアは、「DarkSeoul」などと呼ばれており、2012年に識別されたものである。(別名:Trojan.Jokra[6]、Mal/EncPk-ACE、Win-Trojan/Agent.24576.JPF[7] 等) このマルウェアは、韓国製のウイルス対策ソフトウェア(ハウリとアンラボ)を無力化する機能を備えている。 また、このマルウェアは、2013年3月20日午後2時になると、システムを破壊するように設計されていた。 具体的には、Windows PCのハードディスクのMBR(Master Boot Record)などの領域を破壊して強制的に再起動させたので、OSが起動しない状態となった。 KISA(Korea Internet Security Agency)は、「パッチ管理システム(PMS)経由でマルウェアが配布された」と分析した[8]。
原因分析
脚注[脚注の使い方]^ 浅川 直輝 (2013年4月4日). “韓国激震、サイバー攻撃が同時多発 パッチ管理システムを突かれる
^ “China IP address link to South Korea cyber-attack”