個人情報流出で3,370万人に影響、クーパンに調査と最大1兆ウォン規模の罰金の可能性

何が起きたのか、なぜ重要なのか

韓国最大のオンライン小売業者、クーパンで大規模な情報漏えいが発生し、約3,370万の顧客アカウントに関する個人情報が流出したことで、韓国に衝撃が広がっている。被害の規模は異例で、人口のおよそ3分の2に影響した。大統領府、規制当局、捜査機関が大規模な対応に乗り出しており、急速にデジタル化する経済の中で、企業が個人データをどう守るべきかを巡る新たな議論にもつながっている。

クーパンによると、11月18日に不正アクセスを検知し、当局に報告した。その後の調査で、侵入は6月24日、海外に設置されたサーバーを経由して始まり、気づかれないまま数カ月間続いた可能性が明らかになった。同社は謝罪し、捜査に協力している。クーパンは、決済情報とパスワードへのアクセスはなかったと説明しているが、氏名、メールアドレス、電話番号、配送先住所、一部の注文履歴が流出した。

李在明大統領は、今回の情報流出をプライバシー保護に対する警鐘と位置づけ、担当者に罰則の強化案をまとめるよう指示した。個人情報保護法では、十分な安全対策を講じなかった企業には、年間売上高の最大3％の課徴金が科される可能性がある。クーパン規模の企業の場合、計算に用いる売上高の基準によっては、上限額が1兆ウォンに近づくか、それを超える可能性もある。警察、韓国インターネット振興院（KISA）、個人情報保護委員会（PIPC）がそれぞれ調査を開始し、当局は流出した連絡先を悪用したフィッシングや詐欺に注意するよう市民に呼びかけている。

情報流出の経緯

当局によると、侵入は6月下旬に海外のインフラを経由して始まり、11月に発覚するまで続いた。捜査当局はネットワーク上の活動を追跡し、クーパンのシステムが社内アクセスをどのように認証していたかを調べている。初期の調査では、認証管理の不備が指摘されている。事情説明を受けた当局者によると、元従業員にひもづく認証キーが退職後も有効なまま残っており、顧客情報にアクセスできる余地を生んでいた。警察は、現在は国外にいる中国籍の元開発者が、失効させるべきだった認証情報や署名キーを悪用したかどうかを調べている。

クーパンはその後、侵入経路を遮断し、監視を強化するとともに、独立したセキュリティー専門家を招いたと説明している。同社はKISA、PIPC、警察庁にも通報し、影響を受けた利用者に通知を送っている。これと並行して、政府省庁は合同チームを設置し、一連の経緯を解明するとともに、必要な安全対策が講じられていたかを確認している。調査では、個人情報保護規則への違反の可能性も検証する。

使われていないキーが危険な理由

現代のプラットフォームでは、機器や従業員が特定の作業を行うための限定的な権限を付与するキーやトークンが使われている。従業員の異動や退職後もキーが有効なままだと、不正アクセスに使える「通行証」になりかねない。セキュリティー対策では、必要最小限の権限にとどめ、役割が変われば速やかに権限を取り消し、キーを定期的に更新して長期間使える状態にしないことが求められる。失効処理や監視に一度でも不備があれば、大量のデータが流出しかねないため、長期間有効なキーにはリスクがある。今回の事案では、捜査当局は有効なまま残っていた認証情報が使われ、数カ月にわたってシステム内を気づかれずに移動したかどうかを調べている。

政府の対応と法的リスク

今回の情報流出は、企業内の問題から国家的な懸念へと急速に広がった。大統領府は幹部らを集め、罰則の引き上げと消費者保護の強化に向けた案をまとめるよう指示した。科学技術情報通信部、PIPC、警察は、技術面の鑑識とデータ安全関連法の順守状況を含む合同調査を進めている。KISAは、流出した連絡先や配送情報を悪用する詐欺に警戒するよう、一般向けの注意喚起を出した。

閣議で李大統領は、侵入の開始から発覚まで長い時間がかかったことを批判した。迅速な責任追及と、大企業が利用者データの安全をどう優先するかの見直しを求めた。

李大統領は、数カ月にわたって気づかれなかった情報流出は容認できず、データ保護の基準を変えなければならないと述べた。より厳しい制裁と迅速な責任追及を求め、さらにプライバシーを巡る企業文化全般への警告を加えた。

事件が始まってから5カ月もの間、クーパンが情報流出を自ら検知すらできなかったとは驚くべきことだ。人工知能とデジタル化の時代に重要な資産である個人データの保護に必要な注意を払わない誤った慣行や考え方を、根本から改めなければならない。

法的リスクは大きくなる可能性がある。現行法では、規制当局が十分な安全対策を実施していなかったと判断した場合、課徴金の上限は売上高の3％となる。クーパンの年間売上高は数百億ドルに上る。この規模を基準に3％の制裁を科せば、数千億ウォンに達し、最近の為替レートで換算すると1兆ウォンを超える可能性もある。規制当局は、懲罰的損害賠償の規定や、違反の繰り返しや大規模な不備に対する罰則をさらに引き上げるべきかについても検討している。

情報流出の規模が明らかになると、金融市場も反応した。警察が被害規模を確認し、IPアドレスの追跡と技術的な脆弱性の調査を表明した後、クーパン株は下落した。アナリストは、クーパンの市場での強さから顧客離れは限定的とみる一方、被害者への補償や罰則の可能性が一時的に大きな費用を生むおそれがあると指摘している。

流出した情報と自分を守る方法

クーパンによると、流出したデータには基本的な連絡先や配送先情報、一部の注文履歴が含まれている。同社は、クレジットカード番号、銀行口座情報、パスワードが流出した証拠はないと説明している。直接的な金銭被害の差し迫ったリスクは抑えられるものの、流出した連絡先や住所は、なりすましを得意とする詐欺師にとって価値の高い情報だ。

流出した情報

同社の通知や当局の説明によると、流出した情報は以下の通り。

• 氏名
• メールアドレス
• 携帯電話番号などの電話番号
• 配送先住所
• 一部の注文履歴

犯罪者は、こうした情報を組み合わせて、説得力のあるフィッシングメッセージや電話を作ることができる。氏名と正しい住所が記された偽の配送通知は、悪意のあるリンクをクリックさせたり、決済情報を入力させたりする可能性が高まる。KISAは消費者に対し、クーパンや配送業者を装った電話、SMS、メールに注意し、心当たりのないメッセージに含まれるリンクをクリックしないよう呼びかけている。

利用者ができる対策

• 注文や配送トラブルに言及する予期しないメール、SMS、電話には注意する。リンクはクリックせず、公式アプリやウェブサイトに直接アクセスして通知を確認する。
• 利用できる場合は、アカウントの2段階認証を有効にする。ログイン時の確認を強化すれば、他の情報が悪用された場合の被害を抑えられる。
• 最近の注文やアカウントの利用履歴に見覚えのないものがないか確認する。不審な点があればカスタマーサポートに報告する。
• 配送トラブルの解決を名目に支払いを求める連絡には注意する。信頼できるプラットフォームが、テキストメッセージや電話でカード情報を求めることはない。
• パスワード管理ツールを利用し、サービスごとに異なるパスワードを設定することを検討する。複数サイトで同じパスワードを使うリスクを減らせる。
• 自分の個人情報が悪用されていると思われる場合は、当局に申し立てるとともに、必要な報告に使う書類を会社に請求する。

クーパンは、影響を受けた利用者に通知しており、侵入につながった経路を遮断したと説明している。また、社内監視を強化し、対応と復旧を支援する独立した専門家を招いている。

クーパンとオンラインショッピング市場への影響

クーパンは韓国の小売業界の巨大企業で、直近の四半期にはアクティブユーザーが約2,500万人に上る。食料品の即日配送、物流、動画配信へと事業を広げ、日本と台湾でもサービスを展開している。同社は、台湾事業や韓国以外の関連サービスのデータが影響を受けた証拠はないとしている。それでも、国内で多くの世帯に被害が及んだため、深刻な影響が懸念されている。

情報流出の規模が公表され、警察が正式な捜査を開始すると、投資家は当初、株価を押し下げた。顧客の大半が利用を続ければ、直近の売上高への影響は限られる可能性があるが、事案への対応費用、補償、罰則はいずれも多額になり得る。規制当局が上限の割合を適用すれば、計算に用いる売上高の基準によっては、課徴金だけで1兆ウォン規模に近づく可能性がある。

韓国で注目度の高いサイバー事件が相次いだ年に、今回の事案が起きた。別の事案では、数千万人の加入者に影響する情報流出を受け、SKテレコムが巨額の罰金を科された。ロッテカードの事案でも、犯罪者が本人確認や購買に関する豊富なデータを持つ企業を狙う実態が浮き彫りになった。これらの事案はクーパンの情報流出に先立って起きており、規制当局の対応が厳しくなる背景となっている。

韓国で大規模な情報流出が繰り返される理由

膨大なデータの蓄積、複雑な社内システム、競争の激しいオンライン市場で迅速な対応を迫られる状況が組み合わさり、同じような問題が繰り返されている。多くの社内外の開発者に依存し、互いに連携する多数のサービスを運用する企業では、監督が行き届かなくなることがある。キーやトークンが増え続け、予定どおりに失効しないこともある。アクセス権限が常に必要最小限に制限されているとは限らない。そうした環境では、失効されなかったキーひとつ、あるいは設定を誤ったサーバーひとつが、攻撃者に明確な侵入経路を与えかねない。

当局者は、2021年以降に繰り返された大規模な情報流出が、個人情報保護の構造的な弱点を示していると述べている。PIPCは最近、何年も気づかれなかった情報流出を受け、通信事業者に過去最高額の課徴金を科した。クーパンの事案では、セキュリティーやITに多額の支出をしていたにもかかわらず、社内のガバナンスやアクセス管理が不十分だったかどうかを捜査当局が調べている。業界関係者は、キーの更新、監査の徹底、認証情報のライフサイクル管理が日常的に実施されなければ、支出だけでは強固な保護は保証されないと指摘する。

政府は懲罰的損害賠償と罰則の見直しを指示しており、一社にとどまらない変化を促す姿勢を示している。他のプラットフォームも社内のセキュリティー点検や監査を始めた。議論は、国境を越えた開発チーム、データの国内保管、海外に開発拠点を持つ企業が国内利用者のデータを扱う際に、より厳格な管理を必要とするかどうかにも広がっている。

企業に適用される規則と今後の変更

個人情報保護法に基づき、企業は適切な技術的・管理的措置を講じて個人データを保護しなければならない。情報流出につながる不備があれば、是正命令や課徴金、損害賠償請求につながる可能性がある。課徴金の上限は売上高の3％で、新たな提案では、深刻な被害や過失の繰り返しがあった場合に責任を重くすることが検討されている。当局は、報告期限の短縮、アクセス管理の定期的な検査の義務化、従業員の退職や異動時にアクセス権を適切に管理・解除していることを示す証拠の強化も検討している。

大手プラットフォームにとって、教訓は明確だが、実行は容易ではない。キーやトークンの有効期間を短くする。アクセス権限は必要最小限にする。異動時には権限を自動かつ即時に解除する。利用者データベースへの通常と異なる問い合わせを、警告・検知システムで把握する。定期的な内部レッドチームテストや独立した審査は、見落としの発見に役立つ。規制当局は、是正計画の一環として、こうした基本対策の目に見える進展を求める可能性が高い。

現時点の調査結果に基づくと、利用者にとって差し迫ったリスクは決済データの直接的な窃取ではなく、標的を絞った詐欺だ。それでも、日常的に配送通知やスマートフォンの通知を利用する人々に、実害が及ぶ可能性がある。正確な氏名や住所、最近の注文情報が組み合わされば、説得力のある誘い文句になる。何に注意すべきかを利用者が把握していれば、消費者向けの啓発やアプリ内での簡単な確認手順で、こうした攻撃の被害を抑えられる。

要点

• クーパンの顧客アカウント約3,370万件の情報が流出した。韓国では10年以上ぶりの最大規模の情報流出となる。
• 流出したデータには氏名、メールアドレス、電話番号、配送先住所、一部の注文履歴が含まれる。同社によると、決済情報とパスワードは含まれていない。
• 不正アクセスは6月24日に始まり、11月18日に検知されたとみられている。
• 当局は認証管理の不備や、元従業員が有効なまま残っていたアクセスキーを使用したかどうかを調べている。
• 李在明大統領は、発覚まで数カ月かかったことに驚きを示し、罰則の強化と迅速な責任追及を指示した。
• 現行法では、規制当局は売上高の最大3％の課徴金を科すことができ、数千億ウォン以上に達する可能性がある。
• KISAは、流出した連絡先情報を悪用するフィッシングや詐欺への注意を呼びかける勧告を出した。
• 警察、KISA、PIPCが合同調査を開始した。クーパンは侵入経路を遮断し、外部専門家を招いたとしている。
• 法律事務所が集団訴訟の準備を進めており、アナリストは補償や罰則による一時的な多額の費用を見込んでいる。
• 今回の事案は韓国で相次ぐ大規模情報流出の一つとなり、データ保護や社内アクセス管理を巡る規制変更を加速させる可能性が高い。