漏洩の規模
韓国・科学技術情報通信部は火曜日、国内最大手の電子商取引プラットフォームであり、ナスダック上場企業でもあるクーピャンで起きた大規模なデータ漏洩により、3367万件のユーザー情報が流出したと確認した。韓国の人口5100万人のおよそ3分の2に相当し、同国史上最大級の消費者データ漏洩の一つとなり、デジタルを活用する人口の相当数に影響している。
調査の結果、元従業員が認証の脆弱性を悪用し、数百万ユーザーの氏名とメールアドレスにアクセスしていたことが明らかになった。攻撃者は初期のアカウント情報に加えて、配送先リストのページに1億4800万回アクセスし、氏名、電話番号、住所、さらには匿名化された集合住宅の玄関パスワードなどを漏えいさせた可能性がある。クーピャンでは1アカウントにつき最大20件の配送先住所を登録できるため、実際に漏えいした位置情報の量は登録アカウント数をはるかに上回る可能性があり、主要なアカウント保有者の家族や関係者にも影響が及んでいる可能性がある。
同省サイバーセキュリティ・ネットワーク政策局長のチェ・ウヒョク氏が、ソウルでの政府ブリーフィングでこれらの調査結果を発表した。確認は、クーピャンが侵入を初めて検知した2025年11月17日からほぼ3カ月後に行われ、同社の当初の公式発表から大幅な事態の深刻化を示すものとなった。公式確認が遅れたことから、米国からの貿易圧力への懸念や、米政治家による韓国政府が米国企業を差別しているとの主張を理由に発表が延期されたとの観測が広がったが、調査チームはこれを明確に否定した。
調査チームは、法の原則から逸脱したことは一度もなく、いかなる企業も差別して扱ってはいないと強調し、結果が判明するにつれて迅速かつ透明性の高い開示という基準を守ってきたと説明した。この声明は、規制上の要件ではなく外交的配慮が事件に影響するのではないかという懸念の高まりを受けて発表された。
攻撃の手口
漏洩は組織内部から発生した。調査当局は、攻撃者をクーピャンの元従業員と特定した。この人物は在職中にユーザー認証ソフトウエアを開発していた。政府の分析によると、本人は認証システムから署名鍵を窃取し、2025年1月5日から1月20日までの間に攻撃の予備テストを行った後、ウェブクローリングツールを展開してデータを体系的に抽出した。
攻撃期間は2025年4月14日から11月8日までにわたり、加害者は約7カ月間にわたって検知されることなく活動できた。窃取した署名鍵を使った元従業員は、当局が電子的なアクセス通行証と呼ぶものを偽造し、標準的なログイン手続きを完全に回避した。この手口により、退職後もクーピャンのサービスにアクセスし続けられた。
韓国インターネット振興院デジタル脅威対応部門長のイ・ドングン氏は、クーピャンの現職開発者が、資格情報を管理システム内に保管しなければならないという社内規程に反し、個人用ノートパソコンに署名鍵を保存していたことが調査で判明したと明らかにした。この運用が漏洩を可能にした脆弱性を生んだ。
攻撃者は「個人情報編集」ページにアクセスし、氏名とメールアドレスを含む3367万3817件の記録を収集した。さらに配送先住所一覧のページには1億4805万回、注文一覧のページには約10万回の不正アクセスがあったとみられる。調査当局は、攻撃者が海外のクラウドサーバーにデータを送信できるシステムを保有していたことを確認したが、実際に送信が行われたかどうかは検証できなかった。
政府の認定
韓国当局は、クーピャンのセキュリティ体制に厳しい評価を下した。チェ・ウヒョク氏は、今回の事件を高度な外部攻撃ではなく、明白な経営上の失敗と位置づけた。調査チームは、認証システムの管理と署名鍵の統制に重大な不備があったと指摘した。
これは高度な攻撃ではなく、クーピャンによる明白な経営上の失敗だ。調査チームは、認証システムと署名鍵の管理に不備があったことを確認した。
調査では複数のコンプライアンス違反も明らかになった。クーピャンは義務付けられた24時間以内に漏洩を報告せず、必要な期限である11月18日ではなく11月19日に当局に通知した。さらに深刻なのは、同社が11月19日付で出されたデータ保全命令に違反した疑いがある点だ。証拠を保全するよう指示されていたにもかかわらず、クーピャンはログの自動保存ポリシーを変更せず、その結果、2024年7月から11月までのウェブアクセスログと、2025年5月23日から6月2日までのアプリアクセスログが削除された。
同省は、報告遅延違反に対する行政制裁金を課す計画を発表し、最高3000万ウォンに達する可能性がある。また、証拠の隠滅に関連する可能性のある証拠隠滅罪について、法執行当局に捜査を要請した。クーピャンは今月末までに同省へ再発防止策を提出し、3月から5月にかけて実施、その後6月と7月に政府による検査を受ける必要がある。
クーピャンの反論と現実
調査を通じてクーピャンは、技術的には3370万アカウントが影響を受けたものの、実際の被害は限定的であると主張し続けた。同社は、攻撃者の供述に基づくと、加害者のハードドライブに保存されていた記録は約3000件だけで、その後削除されたと主張した。この立場は、規制上および評判上の被害を最小限に抑えようとする試みだとして、規制当局とプライバシー保護団体から強い批判を受けている。
チェ・ウヒョク氏はブリーフィングで、この解釈に直接異を唱えた。氏は、韓国の個人情報保護基準では、データが端末内に保存されたか他へ送信されたかを問わず、個人情報ページへの不正アクセス自体がデータ漏洩に当たると強調した。
アクセスに過ぎないと言っても、責任が軽くなるわけではない。3000件という数字は単なる会社側の主張であり、参考情報にすぎない。私たちはすべての資料を独自に検証した。クーピャンのサーバーを調査し、外部の攻撃者がどれだけのデータにアクセスし、どれだけが漏えいしたのかを確認した。
クーピャンの広報担当者は、政府の調査結果について、配送先リストのページへの1億4800万回のアクセスは情報漏洩の規模を示すものではないと主張した。担当者は、これらを1億4800万件の別個のデータ漏えいの証拠ではなく、3370万アカウントに関連する個人データを収集しようとする試みだと説明した。しかし政府当局者は、アクセス要求の膨大な量そのものが、攻撃者が包括的なユーザープロファイルを収集する能力を備えていたことを示していると反論した。
この食い違いは、企業と規制当局がデータ漏洩をどのように定義するかに根本的な違いがあることを浮き彫りにしている。クーピャンは攻撃者によるデータ保存が確認された範囲に焦点を当てる一方、当局は、特に海外へのデータ送信を目的としたシステムの証拠と結びつく場合、個人情報への不正閲覧はすべて漏えい事象として扱う。
地政学的波紋と米国からの法的圧力
今回の漏洩は、国内のサイバーセキュリティ事件から、韓国と米国の間の重要な二国間問題へと発展した。米国に上場し、米国投資家から多額の資金調達を受けているクーピャンは、同社を狙った差別的な対応の可能性があるとみる米議会の関心を集めている。韓国の強硬な規制対応が、米国企業を標的としたものだという見方だ。
暫定最高経営責任者（CEO）のハロルド・ロジャース氏は、複数の方面で高まる法的圧力に直面している。韓国警察は、漏洩をめぐる証言に関する偽証罪の疑いでロジャース氏を約12時間事情聴取した。同時に、米下院司法委員会は、今回の事件について2026年2月23日に証言するようロジャース氏に召喚状を発行した。議会の調査は、韓国の規制当局が米国上場企業に不当な負担を課しているかどうかを検証する。
ニューヨークの連邦地裁では、十分なデータ保護を怠り、漏洩の規模について誤解を招く説明をしたとして、クーピャンに懲罰的損害賠償を求める集団訴訟が係争中だ。この法的措置は、セキュリティ上の失敗とその後の同社による事件の過小評価によって損害を受けたと主張する投資家とユーザーを代表するものだ。
ソウルで事業を展開する一部の多国籍企業は、9つの政府機関と数百人の当局者が関わる複数機関横断的な対応は、国内企業への対応と比較して前例がないと私的に警告している。これらの企業は、2700万件が影響を受けた2025年のSKテレコムの漏洩では同等の調査が行われなかったことを差別的扱いの証拠として挙げている。しかし科学技術情報通信部は、法の原則から逸脱していないと強く否定し、クーピャンを同種の違反に直面するどの企業とも同一に扱ったと主張している。
イ・ジェミョン大統領は、韓国を世界最高の投資先にすると公に表明しており、強力な個人情報保護の執行を示すことと、外国資本に有利な条件を維持することとの間に緊張が生じている。クーピャンの事件は現在、消費者のプライバシー保護と国際貿易関係をどのように両立させるかを測る試金石となっている。
規制上の影響と事業リスク
報告遅延による即時の制裁金に加え、クーピャンは深刻な規制上の危機に直面している。連邦取引委員会は、事業停止の可能性を警告しており、これは企業活動を完全に停止させる抜本的な措置だ。同委員会は税務監査も実施しており、創業者のキム・ボム氏と元幹部らに対する国会告発も受理している。
今回の漏洩をめぐっては、2026年2月5日にも別途開示が行われ、追加で16万5000件のユーザー情報が漏えいしていたことが明らかになった。この二次発表は世論の怒りをさらに高め、同社の当初の評価が被害を過小に見せていたとの認識を強めた。
業界アナリストは、この事件が韓国の消費者向けプラットフォームに対する新たなコンプライアンス基準を確立すると指摘する。具体的なアクセス件数とタイムライン分析を含む、攻撃の詳細な再現を政府が示したことは、大量の個人情報を処理する他の企業にも適用できる規範的な管理要件を策定する意図を示している。
クーピャンのユーザーにとって、漏えいしたデータは現実的な安全上のリスクをもたらす。配送先住所、電話番号、建物の入口パスワードが流出することで、ユーザーはつきまとい、標的型詐欺、身体的な安全上の脅威にさらされる可能性がある。金融機関がカードの無効化や監視によって被害を抑えられる決済カードの漏洩とは異なり、住所や連絡先情報は永続的に機微性が高い。家族や友人など、ユーザーアカウントに保存されていた第三者の住所も含まれることで、影響を受けるのはクーピャンの直接の顧客だけにはとどまらなくなった。
要点
- クーピャンのユーザーアカウント3367万件の漏洩が確認され、韓国人口のおよそ3分の2に影響
- 元従業員が認証用の署名鍵を窃取し、2025年4月から11月にかけて不正アクセスを行った
- 攻撃者は配送先リストのページに1億4800万回アクセスし、住所、電話番号、建物の入口コードなどを漏えいさせた可能性
- 科学技術情報通信部は事件を明白な経営上の失敗と位置づけ、報告遅延と証拠の隠滅をクーピャンの違反として挙げた
- 暫定CEOのハロルド・ロジャース氏は韓国警察の事情聴取と、2026年2月23日の米国議会への召喚に直面
- 米国で集団訴訟がニューヨーク連邦地裁で懲罰的損害賠償を求めている
- 連邦取引委員会は事業停止の可能性を警告し、税務監査を実施中
- 本件とは別に、2026年2月5日に追加の16万5000件が開示された
- クーピャンは今月末までに再発防止策を提出し、6月と7月に政府検査を受ける必要がある
