韓国のサイバーセキュリティを読み解く ― KISA、KrCERT/CC、AhnLab、ESRCとは何者なのか

韓国を標的としたフィッシングキャンペーンを調べていると、KISA、KrCERT/CC、AhnLab、ASEC、ESTsecurity、ESRC といった名前に繰り返し出会います。技術的な内容は追えても、それぞれの立場が分からなければ、レポートが何を根拠に、どこまでを見て書かれたものか判断しにくくなります。本稿では、韓国の脅威情報を読むための最初の地図を、日本との対比も交えて整理します。

今回のポイント

• 公開レポートは、内容だけでなく「誰が、どの立場から書いたか」を見る
• KISA と民間ベンダーでは、同じ事象でも観測できる範囲が異なる
• 日本との比較は、「役割の近さ」と「企業規模の近さ」を分けて考える

調査の中で繰り返し現れた名前

今回のきっかけは、韓国向けのフィッシングキャンペーンを追跡したことでした。

某脅威情報分析プラットフォームで観測されたドメインやページ構造を確認し、過去の公開レポートと照合していくと、同じ組織名が何度も現れます。

KISA。KrCERT/CC。AhnLab。ASEC。ESTsecurity。ESRC。

日本国内のインシデントを調べるとき、JPCERT/CC、IPA、セキュリティベンダーの資料を読み比べることは珍しくありません。どの組織が公的な調整を担い、どの企業が製品や観測基盤を背景に分析しているかを、おおむね意識しながら読んでいます。

ところが対象が海外になると、技術用語は理解できても、書き手の立場が見えにくくなります。そこで最初に必要になったのは、IoC を増やすことではなく、情報発信者の地図を作ることでした。

技術情報だけでは、レポートの重みは分からない

脅威インテリジェンスでは、ドメイン、IP アドレス、ファイルハッシュ、HTML、JavaScript といった技術情報に目が向きます。もちろん、これらは分析の中心です。

一方で、同じキャンペーンを扱うレポートでも、書き手によって見えている範囲は異なります。

公的なインシデント対応を担う組織は、通報や関係機関との調整、被害対応を通じて、広い状況を把握できることがあります。製品ベンダーは、エンドポイント製品や監視基盤から得られる検体やテレメトリを持っています。脅威リサーチ部門は、コード、IoC、TTP、時系列の変化を詳しく追います。

一つのログだけでは全体像が見えないように、公開レポートも一つだけではキャンペーンの輪郭を捉えきれません。書き手の立場を知ることは、情報の信頼性を序列化するためではなく、その情報が照らしている範囲を理解するために必要です。

KISA と KrCERT/CC

KISA は Korea Internet & Security Agency、韓国インターネット振興院です。

「韓国版 IPA」と紹介されることがありますが、それだけでは担当範囲を十分に表せません。KISA の公式な事業紹介を見ると、サイバー脅威の監視や侵害対応支援、脅威情報共有に加え、個人情報、情報セキュリティ産業、デジタル基盤など幅広い領域を扱っています。KISA の中には、韓国のインターネット資源を扱う KRNIC の機能もあります。

日本の感覚で入口を作るなら、IPA、JPCERT/CC、JPNIC が担う役割の一部が、同じ公的機関の中に置かれている姿を想像すると分かりやすくなります。ただし、制度や法的位置付けが同じという意味ではありません。

KrCERT/CC は、KISA が運営するインシデント対応と国内外連携の窓口・機能として理解できます。機能面では JPCERT/CC を連想しやすい一方、大きな違いがあります。JPCERT/CC は、特定の政府機関や企業から独立した中立組織です。韓国側と日本側を完全な対応関係として扱わない方がよい理由の一つです。

AhnLab と ASEC

AhnLab は、韓国を代表する総合セキュリティ企業です。V3 の名称で知られるアンチマルウェア製品に加え、エンドポイント、ネットワーク、クラウド、セキュリティ運用、サービスへ事業を広げています。

ASEC は AhnLab の脅威インテリジェンス組織です。現在の公式表記は AhnLab SEcurity intelligence Center です。過去の記事では “AhnLab Security Emergency response Center” という展開も見られるため、古い資料を読む際には表記の時期に注意が必要です。

ASEC の公開情報では、マルウェア、脆弱性、攻撃グループ、フィッシングなどについて、検体やコード、IoC、AhnLab の観測基盤を背景とする詳しい分析が見つかります。会社名である AhnLab と、分析組織・情報発信ブランドである ASEC を分けて覚えると、検索結果を整理しやすくなります。

ESTsecurity と ESRC

ESTsecurity は、アンチマルウェア製品 ALYac、EDR、データ保護、脅威インテリジェンスなどを扱う韓国のセキュリティ企業です。

ESRC は ESTsecurity Security Response Center の略称で、ESTsecurity のサイバー脅威対応・分析組織です。マルウェアや IoC の分析に加え、韓国を標的とする攻撃、フィッシング、メール脅威などを継続して観測しています。

今回の調査で役立ったのは、ある一時点の IoC だけではなく、同じテーマがどのように変化したかを時系列で追える点でした。単発のスキャン結果だけでは見えにくい運用の変化を、継続観測が補います。

日本との比較は二つの軸で見る

海外組織を「韓国の○○は、日本の△△」と置き換える説明は、最初の理解には便利です。しかし、役割が近いことと、組織や企業の規模が近いことは別です。

まず、役割を中心に整理すると次のようになります。

この表は役割を理解するための補助線であり、完全な対応表ではありません。

企業規模は別の表で見る方が誤解を避けられます。各社の公式な会社情報や開示資料から、作業時点で確認できた従業員数を並べると次のようになります。

AhnLab は、国内企業ではソリトンシステムズとラックの間の規模感です。世界で 6,717 名を擁するトレンドマイクロと比べると、かなり規模が異なります。一方、ESTsecurity は、規模だけを見れば FFRI Security と近い帯にあります。

ただし、基準日や集計範囲は同一ではありません。従業員数が近くても、製品開発、研究、監視運用、コンサルティングの構成は異なります。この数字は会社の大きさを想像するための補助線であって、企業の役割や能力を対応付ける指標ではありません。

同じキャンペーンでも、見ている景色は違う

今回のフィッシング調査では、これらの組織が同じ現象を別の角度から捉えていました。

KISA と KrCERT/CC の情報からは、公的な対応や広いインフラの捉え方が見えてきます。ASEC の分析からは、検体、コード、IoC、製品基盤での観測が得られます。ESRC の継続的な発信からは、攻撃テーマやメール脅威の時間的な変化を追えます。

どれか一つを「最も正しい情報源」と決める話ではありません。それぞれの観測範囲を理解して重ねることで、技術的な一致、状況的な類似、まだ判断できない部分を分けやすくなります。

海外のレポートを読むときは、少なくとも次の三点を確認すると整理しやすくなります。

1. その組織は、公的機関、CERT、製品ベンダー、研究組織のどれか
2. どの観測基盤や対応経験を背景にしているか
3. レポートが直接確認した事実と、そこからの推論はどこで分かれるか

調査を終えて

今回の調査を進める中で印象に残ったのは、HTML や JavaScript の共通点だけではありませんでした。韓国では誰が脅威を観測し、どの立場から情報を発信しているのか。その構造を知ることで、個々のレポートの役割が自然と見えるようになりました。

海外のインシデントを扱うとき、技術情報の収集に加えて、その国のセキュリティ・エコシステムを理解することも、脅威インテリジェンスの一部です。

次回は、この地図を持った上で、韓国の脅威情報を実際にどこから探し、どの順で読んでいくかを整理します。

Behind the Analysis

IoC は国境を越えて同じ形式で扱えますが、その IoC を観測し、分析し、共有する仕組みは国ごとに異なります。レポートの書き手を知ることは、権威に頼るためではなく、観測できる範囲と見えない範囲を理解するための作業でした。

出典

• KISA — Korea Internet Security
• KISA — Organization
• KRNIC — About Us
• JPCERT/CC — JPCERT/CCとは
• AhnLab — About ASEC
• AhnLab — 2026年第1四半期報告書
• ESTsecurity — ESRC
• ESTsecurity — Company Profile 2025
• FFRI Security — 有価証券報告書
• ソリトンシステムズ — 会社概要
• ラック — 会社情報
• トレンドマイクロ — 会社概要

Series

Solanets Tech Essays の目次へ

• #001 韓国のサイバーセキュリティを読み解く（この記事）
• #002 韓国の脅威インテリジェンス情報源を歩く（次回）
• #003 Naver フィッシング調査録（2022年）（予定）
• #004 DDNS を悪用した 2026 年キャンペーン（予定）
• #005 2022 年と 2026 年を比較して見えてきたもの（予定）