韓国の銀行を狙った攻撃は、Claude Codeの作業ノートから手口がバレました——個人でできることと、FolderOSで守れること

焼肉きんぐのニュースのあと、自分のアプリを点検しました

10月5日、焼肉きんぐのアプリの会員情報が流出したと発表されました。1,078万件。会員のほぼ全員です。名前、メールアドレス、電話番号。

読んで、すぐ自分のアプリが気になりました。

うちも、会員がログインして使うアプリをいくつか作っています。なので、すぐに設定を見直しました。

見たのは、この2つです。

「誰でも登録できないか」「登録した人が、自分で権限を名乗れないか」

どちらも、作ったときは「まあ大丈夫だろう」で通り過ぎやすいところです。見直してみると、直したほうがいい所はちゃんと出てきました。この2つは、どの会社でも一度見ておく価値があります。

で、今週は韓国の銀行。しかも道具が同じでした

10月7日、セキュリティ会社の CrowdStrike がレポートを出しました。

9月の終わりから10月の初めにかけて、韓国の金融機関がいくつも攻撃されて、データを持ち出された。報道では、新韓銀行で約2万5千人のお客さんに被害が出たそうです。

CrowdStrike は、この攻撃の元になった可能性が高い仕組みを見つけています。攻撃者が使っていたのは、こういう組み合わせでした。

• ARTEX：最近公開された、中国製の「AIに侵入テストをさせる道具」。誰でも手に入る
• AIのモデル：DeepSeek を中心に、ほかのAIもいくつか
• Claude Code：僕が毎日使っているのと、同じもの

読んだとき、少し手が止まりました。

破られた場所も、気になりました。報道によると、銀行の本体ではありません。ある銀行では融資の仲介業者が使う「審査の進み具合を照会するサービス」。別の銀行では、社員用のスマホの業務システム。

脇の入口です。

さっき僕が見直した「誰でも登録できないか」と、同じ種類の場所です。

手口がバレたのは、作業ノートからでした

ここからが、いちばん書きたいところです。

CrowdStrike が手口を突き止められたのは、攻撃者のサーバーに、誰でも外から読めるフォルダがあったからでした。中に入っていたのは、

• CLAUDE.md：AIに「こういう手順で侵入テストをしろ」と指示した文書
• Claude のメモリ：AIが覚えておくように書き残したメモ
• Claude Code の会話履歴：AIとのやりとり、まるごと

ここから、使った道具、狙った先、別のサーバーのアドレスまで分かった。攻撃者が誰かは、まだ特定されていません。でも、何をどうやったかは、ノートが教えてくれた。会話履歴には、盗んだデータをどこで売ればいいかを Claude に聞いたやりとりまで残っていたそうです。

要するに、攻撃者の業務日誌が、そのまま公開されていたわけです。

これ、他人事じゃないんです。

AIの作業ノートは、会社の地図になる

僕も、Claude Code で毎日仕事をしています。

さっき数えてみました。このパソコンにある Claude のメモリは274ファイル。会話の履歴は703本。

中に何が書いてあるか。

• どのお客さんと、どんな案件をしているか
• どのサーバーに、どうやって入って作業するか
• どのアプリの、どこを直したか（さっきの見直しの話も、全部入っています）

会社の地図そのものです。

攻撃者のノートが、彼の手口を全部しゃべったのと同じで。僕のノートが外に出たら、うちの会社のことを全部しゃべります。

なので、うちでは AIのメモは、自分のパソコンの中だけ と決めています。公開しているリポジトリや、Webから見える場所には置かない。

攻撃者は、これをやらなかった。それで、手口が外に出ました。

個人でできること

ここからは、Claude Code を使っていない人も含めて、です。

焼肉きんぐの件で出たのは、名前・メール・電話番号。パスワードは出ていません。でも、名前と電話番号がそろうと、「本物っぽい連絡」が作れます。 韓国の件のような、銀行の脇の入口を狙う攻撃でも、最後にだまされるのは人です。

1. パスワードを使い回さない

1か所で漏れると、同じパスワードの全部が開きます。流出の知らせが来たら、そのサービスだけでなく、同じパスワードを使っていた先も全部変える。

2. 2段階認証をオンにする

ログインのときに、スマホでもう一度確かめる仕組みです。銀行、メール、Amazon。この3つだけでも。

3. 「銀行です」「お店です」の連絡のリンクは押さない

SMS やメールのリンクではなく、自分で入れた公式アプリから確かめる。名前を呼んで連絡してきても、本物とは限りません。

4. AIを使っているなら、AIに渡すファイルに鍵やパスワードを書かない

AIへの指示書やメモは、外に出ると一番しゃべるファイルです。たとえば Claude Code なら、CLAUDE.md やメモリのファイルがそれに当たります。GitHub に公開しているリポジトリに入っていないか、一度見ておく。

4つ目は、僕自身への戒めでもあります。

FolderOSで守れること・守れないこと

僕らは、FolderOS という Windows のアプリを作っています。会社の共有フォルダを、エクスプローラーと同じ手つきで開いて、AIに要約や期限の拾い出しを頼めるアプリです。

先に、はっきり書いておきます。FolderOS は、侵入を防ぐソフトではありません。 銀行の脇の入口や、アプリの登録の設定の穴は、FolderOS では塞げません。そこは点検するしかない。

そのうえで、守れることがあります。AIにファイルを読ませるときに、どこまで外に出るかを決めておけることです。

• AIが読むのは、開いている会社フォルダの中だけです。 右クリックのメニューにも、そう出しています
• 外のAIを使うときは、そのAIが「入れた内容を学習に使うかどうか」と、それを確かめた日を、設定の画面に出しています。 9月30日に、各社の規約の原文を読んで確かめました
• AIの答えは、決まったフォルダに書くだけです。 チャットではないので、「どこに何が残ったか」をフォルダとして目で見られます

3つ目が、今回の話につながります。

攻撃者は、自分のAIのノートがどこにあって、誰から見えるかを把握していなかった。だから手口が外に出た。

AIが何を読んで、何を書き残したか。それが、いつでもフォルダで見える。 守りの第一歩は、ここだと思っています。

小さい会社ほど、同じ形の穴を持っている

韓国の銀行も、焼肉きんぐも、大きな会社です。

でも、狙われた場所の形は、小さい会社のアプリと同じです。本体ではなく、脇の入口。 誰でも登録できる、誰でも名乗れる、誰でも読める。

そして攻撃する側は、AIを使って、それを短い期間でいくつも試せるようになった。CrowdStrike も、AIのおかげで短い期間に何か所も攻撃できたことを指摘しています。

守る側も、同じ道具を使えます。

僕が自分のアプリの設定を見直したのも、Claude Code と一緒にでした。ルールを1行ずつ読ませて、「この登録で何ができてしまうか」を試させる。人の目だけでやるより、ずっと早く進みます。

道具は同じ。違うのは、作業ノートをどこに置いて、何を書かないか。そこだけでした。

参考

• Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance（CrowdStrike）
• CrowdStrike finds possible bank hacker’s CV among exposed AI logs（The Register）
• South Korean banks were likely hacked by a China-based actor with an AI agent, CrowdStrike says（Reuters / Euronext）
• 焼肉きんぐ 公式アプリに不正アクセス、約1,078万件の個人情報漏洩（Rocket Boys）

2026年10月9日時点の報道と発表によります。

▼関連記事
そのデータ、どこに何日残りますか？　「うちの顧客データを入れて、大丈夫なんですか？」

▼関連記事
GitHubのコミットに、個人メールが出ていませんか？——確かめ方と、noreplyへの切り替え

自社のアプリやAIの使い方を、一度点検したい方へ

会員がログインするアプリや、社員用のシステムを持っている会社は、「誰でも登録できないか」「登録した人が自分で権限を名乗れないか」だけでも、一度見ておくと安心です。AIを社内で使い始めるときの、「どの書類をどのAIに渡していいか」の決めごとも、ご相談いただけます。