韓国クーパンで情報流出、顧客3,370万アカウントに影響

何が起き、なぜ重要なのか

韓国最大の電子商取引プラットフォーム、クーパンは、顧客3,370万アカウントに関連する個人情報が流出した大規模な情報漏えいを公表した。調査当局によると、不正アクセスは国外のサーバーを経由して6月に始まった可能性が高く、数カ月にわたり発覚しなかった。影響は韓国の人口の半数を超える規模に及び、大量の個人情報流出後に起きがちな詐欺の標的となるおそれがある日常的な買い物客や家族、中小企業に懸念が広がっている。

同社によると、流出した情報には氏名、携帯電話番号、メールアドレス、配送先住所、一部の過去の注文内容が含まれる。決済カード情報、銀行情報、ログイン認証情報にはアクセスされていないという。金融情報がなくても、連絡先と注文履歴を組み合わせれば、カスタマーサポート担当者や配送通知を装う巧妙な詐欺に悪用される可能性がある。同社は顧客に対し、確認コードやパスワード、決済情報を求める電話、SMS、メールに注意するよう呼びかけている。

クーパンは謝罪し、11月中旬に少数のアカウントで異常なアクセスを検知した後、速やかに当局へ報告した。当初、約4,500アカウントとされた被害規模は、調査範囲の拡大に伴って急速に膨らんだ。警察は、現在は国外にいる元従業員が関与した可能性を調べている。規制当局はクーパンが個人情報保護規則に違反したかどうかを調査しており、法令順守上の問題が確認されれば、処分を科す方針を示している。

情報漏えいの経緯

同社と政府当局者によると、今回の情報漏えいでは配送に関連する個人情報が流出し、6月下旬以降、海外サーバーを通じたアクセスが原因とみられている。クーパンは11月18日に異常な動きを確認し、2日以内に当局へ届け出た。不審な経路を遮断し、社内の監視体制を強化した後、セキュリティー専門家や法執行機関と合同調査を開始した。デジタル鑑識が進むにつれ、影響を受けたアカウント数は数千万に達した。

当局によると、一部サーバーの認証方法にあった脆弱性が悪用された可能性がある。その場合、外部の攻撃者が直ちに警報を鳴らすことなく、繰り返しデータを抜き出せたと考えられる。システムに詳しい内部関係者が関与した可能性を示す情報とあわせ、この点が現在、捜査の焦点となっている。政府は緊急会議を開き、技術分析、被害者支援、規制上の対応を調整する官民合同チームを設置した。

流出した情報とリスク

流出したデータには、配送の受け取りにあたり日常的に共有する個人情報、すなわち氏名、携帯電話番号、メールアドレス、配送先住所、注文履歴の一部が含まれると報じられている。決済カード番号、銀行情報、パスワードは含まれていない。これは当面の金銭的リスクを考えるうえで重要な違いだが、流出情報はソーシャルエンジニアリングに悪用されるおそれがある。詐欺犯は小売業者や物流会社、さらには銀行を装い、標的にワンタイムコードを明かさせたり、マルウェアをインストールさせたりする可能性がある。

大規模な情報流出の後によく見られる脅威に、SMSを使ったフィッシング（スミッシング）がある。攻撃者は本物らしい配送状況の通知やアカウント警告を送り、偽のログインページに誘導したり、アカウント乗っ取りに使うワンタイムコードを盗み取ったりする。注文内容が加わることで、偽の連絡はさらに信ぴょう性を増す。顧客は、特に決済やコード、端末へのリモートアクセスを求める不審なメッセージや電話に注意する必要がある。

クーパンはパスワードの流出はなかったとしているが、犯罪者は流出した連絡先情報を使ってパスワードのリセットを試みることが多い。心当たりのないパスワードリセットや認証要求に注意し、変更はメッセージ内のリンクではなく、公式アプリまたはウェブサイトでのみ確認すること。利用できる場合は二要素認証を有効にする。最近の注文と保存済みの配送先住所を確認し、自分が行っていない変更がないか確かめてほしい。

関与が疑われる人物

捜査に詳しい当局者によると、警察は元従業員で外国籍の人物を容疑者として特定した。この人物は国外に出たと報じられている。捜査当局は、サーバー認証の不備を悪用したのか、退職後もアクセス権を保持していたのかを調べている。内部事情に詳しい人物は弱点を見つけやすい。特にシステムログや権限が厳格に管理されていない場合は、なおさらだ。

内部関係者によるリスクは、悪意ある行為に限らない。ミス、残存したシステムトークン、退職時の権限削除の遅れによって、外部の攻撃者が悪用できるデータ経路が露呈するおそれもある。こうしたリスクを抑えるには、強固なアクセス制御、認証情報の定期更新と失効、継続的なログ記録、行動監視が不可欠だ。規制当局は今回の情報漏えいの重大さを強調し、迅速に対応すると表明した。

数百万人の市民の連絡先情報が流出したことを受け、科学技術情報通信部は調査方針を示した。

迅速に調査を行い、違反が確認された場合は厳正に処分するとした。

当局とクーパンの対応

政府は最初の報告から数日以内に正式な調査を開始し、法執行機関や技術関連機関と合同対応チームを組織した。個人情報保護委員会は、個人情報保護規則に違反があったかどうかを調べている。クーパンはアクセス経路を遮断し、社内監視を強化したうえで、全面的に協力していると説明している。同社は顧客に対し、なりすましに注意し、公式の連絡手段を利用するよう呼びかけている。

今回の情報漏えいの規模は、今年初めに大手携帯通信会社で発生し、2,300万人以上に影響した重大事案を上回る。この事案では過去最高額の罰金が科された。規制当局は、管理体制が不十分と確認されれば厳しい処分を科す方針を示している。当局は、サーバーのセキュリティー、退職者のアクセス権削除、アクセス認証に関する業界指針を強化する必要があるかどうかも検討している。

認証制度で防げなかった理由

クーパンは、情報セキュリティーと個人情報保護に関する国内認証制度「ISMS P」を取得している。同社は2021年に認証を取得し、2024年に更新した。それでも2020年以降に複数の情報セキュリティー事案を起こし、過去の違反では罰金も科されている。これを受け、認証が実際に何を保証するのかをめぐる議論が広がっている。ISMS Pの監査は、文書化された方針やプロセス、管理策に重点を置くが、認証はリアルタイムの障害、人為的ミス、内部関係者による不正を防ぐ保証ではない。

批判する側は、監査が管理策の実効性を厳しい状況下で示す確かな証拠よりも、書類上の順守を重視しかねないと指摘する。複雑なプラットフォームは、広範なマイクロサービス、サードパーティーとの連携、多数のチームに依存しており、リスクの状況は急速に変化し得る。定期的に実施され、チェックリストに沿って進む認証審査では、長期間有効なアクセストークン、サーバー認証の不備、環境をまたぐログの相関分析の不十分さなど、稼働中のシステムで初めて明らかになる実務上の弱点を見逃す可能性がある。

他の法域の制度を見れば、処分と予防策の関係が分かる。欧州連合（EU）の一般データ保護規則（GDPR）は、プライバシー・バイ・デザインと72時間以内の情報漏えい報告を義務づけ、全世界の売上高の最大4％に相当する制裁金を認めている。米国では、連邦取引委員会（FTC）が利用者データを不適切に扱ったり、消費者を欺いたりした企業に高額の制裁金を科してきた。日本は重大事案を受けて個人情報保護法に基づく規則を強化し、社内アクセス管理と監査を厳格化した。韓国の制度は厳格と広くみられているが、大規模事案が繰り返されていることは、変化の速い攻撃手法や内部関係者のリスクに対応するため、法執行、監視、予防策の強化がなお必要なことを示している。

過去の韓国の情報流出との比較

韓国では過去20年間に、社会に大きな影響を与える情報漏えいが相次いだ。2011年には、ハッカーが大手ソーシャルネットワーク・ポータルサイトの約3,500万アカウントのデータを盗んだ。2014年には、クレジットカード会社から住民登録番号やカード情報を含む数千万件の記録が流出した。それ以前にはオンライン市場やエネルギー企業が被害に遭い、近年は携帯通信会社も情報漏えいを報告している。最近では大手通信事業者で2,300万人以上に影響する事案が発生し、個人情報保護法違反として過去最高額の処分につながった。

クーパンの事案は、規模の大きさに加え、元従業員の関与が疑われている点で際立つ。また同社で小規模な問題が相次いだ後に起きたことから、セキュリティー改善の約束が実を結んでいるのかという社会の懸念を強めている。被害規模、発覚までの期間、そしてシステムに詳しい内部関係者の関与が重なり、企業統治と国の個人情報保護制度の双方に厳しい試練を突きつけている。

顧客が今できること

クーパンは、決済情報やパスワードが流出した証拠はないとしている。それでも大規模な情報流出の後には、氏名、電話番号、住所、注文内容を悪用した詐欺が起きることが多い。いくつかの対策を取れば、リスクを抑え、標的にされた場合にも迅速に対応できる。

• 心当たりのない電話、SMS、メールには注意する。特に決済やワンタイムコード、アカウント情報を求める連絡には警戒する。
• 配送やアカウントに関するメッセージ内のリンクはクリックしない。公式アプリを開くか、ウェブサイトのアドレスを自分で入力する。
• 利用できる場合は、アカウントの二要素認証を有効にする。
• アカウントの利用履歴と配送先住所の一覧を確認し、自分が行っていない変更がないか確かめる。
• パスワード管理ツールを使い、ショッピング、メール、銀行の各サービスで同じパスワードを使い回さない。
• スマートフォンやパソコンに遠隔サポート用ソフトをインストールするよう求められても、応じない。
• 同社を名乗る不審なメッセージを受け取った場合は、公式アプリまたはウェブサイトからカスタマーサポートに連絡する。

自分の情報が悪用されていると思われる場合は、当局と携帯通信会社に届け出る。不審なメッセージのスクリーンショットを保存し、受信時刻と電話番号を記録しておく。速やかな通報は、捜査当局が広範な手口を把握し、悪意あるドメインや電話番号を遮断する助けとなる。

企業と市場への影響

大規模な情報漏えいは、技術的な復旧にとどまらない費用を企業にもたらす。企業はデジタル鑑識、個人情報保護サービス、システム再設計、顧客サポートに費用をかける一方、規制上の措置や訴訟にも対応しなければならない。評判への打撃は長引く可能性があり、特にリピート購入とブランドへの強い信頼に依存するプラットフォームへの影響は大きい。責任追及を求める声はすでに高まっており、個人情報保護当局は法令順守上の不備が立証されれば処分を検討するとしている。

クーパンは米国に上場し、韓国国内で全国規模の事業を展開しているため、複数の規制当局や投資家から厳しい目を向けられている。今後の報告書や説明では、アクセス管理、認証情報の失効、サーバー認証、ログの相関分析、サードパーティー連携の統制に関する変更が焦点となる見込みだ。信頼を取り戻し、問題の発見まで数カ月にわたって障害が続く事態を防ぐには、人材、プロセス、技術への継続的な投資が必要となる。

知っておきたいこと

• クーパンの顧客3,370万アカウントの個人情報が流出した。
• 流出したデータには氏名、携帯電話番号、メールアドレス、配送先住所、一部の注文履歴が含まれる。
• 流出データに決済カード情報、銀行情報、ログインパスワードは含まれていなかった。
• 不正アクセスは6月に始まり、11月中旬まで発覚しなかった可能性が高い。
• 当局は元従業員とみられる人物を捜査しており、緊急対応チームを設置した。
• 科学技術情報通信部は、個人情報保護法違反が確認された場合は厳正に処分すると警告した。
• クーパンはアクセス経路を遮断し、社内監視を強化したとしている。
• 顧客には、同社を装う電話、SMS、メールに注意するよう呼びかけている。
• 今回の事案を受け、ISMS Pなど国内のセキュリティー認証制度の有効性をめぐる議論が強まっている。
• 今回の情報漏えいは他の大手企業で最近起きた事案を上回り、韓国で報告された中でも最大級の規模となった。