南韓で再び重大な情報漏洩事件　動画プラットフォームTvingで約4000万件のアカウント情報が流出

韓国科学技術情報通信部は木曜日（3日）、動画ストリーミング（OTT）プラットフォームTvingで大規模なハッカー侵入と個人情報漏洩事件が発生したと発表しました。政府と民間の合同調査チームが3か月にわたり調査した結果、最大で3954万件のユーザー アカウント（重複登録を含む）と361件のコア技術プロジェクト（推奨・検索アルゴリズム、会員管理および決済システムの開発ソースコードなど、約30.35GB）が盗まれたことが確認されました。

調査チームによると、今回の事件の原因は極めて緩慢な鍵管理にありました。ハッカーはまず、ある開発者の「開発環境」へのアクセスキーを盗み、システムに侵入。そこからコアソースコードをダウンロードし、コード内にハードコードされて暗号化されていない「運用環境」の鍵を取得しました。さらに、運用環境内のユーザー データベースのアカウント情報も平文で保存されていたため、ハッカーは容易に内部に侵入できました。

これについて、科学技術情報通信部の情報セキュリティ・ネットワーク政策局長である林貞圭（イム・ジョンギュ）氏は、調査チームは攻撃者の身元をまだ特定できていないが、盗まれたデータが海外の口座に転送されたことが判明しており、今後警察が調査を進め、攻撃の発信国を特定するとしています。

ハッカーは5月30日に初めてデータの窃取を試みましたが、その際サーバーのCPU使用率が100％に達し、異常警報が発生したため、Tving側が即座に遮断しました。しかし、翌日再び攻撃を仕掛け、CPU使用率を10％以下に抑えることで検知を回避。仮想サーバーを経由してデータを外部に送信した後、そのサーバーを削除しました。

調査チームは、流出した個人情報には氏名、生年月日、電話番号、メールアドレス、そして最大1904万件の「連絡情報（CI）」が含まれていると警告しています。ハッカーはソースコードを分析して新たな脆弱性を突く攻撃を仕掛ける可能性があり、また個人情報を悪用してSMS詐欺や音声詐欺などの犯罪に利用する恐れがあります。

この事件は、Tving内部のセキュリティ管理体制に深刻な問題があることを浮き彫りにしました。265人の従業員（うち開発者149人）に対して、専任のセキュリティ担当者はわずか4人しかいません。さらに、2024年に実施された社内模擬ハッキング攻撃で「鍵のハードコード」の脆弱性が発見されていたにもかかわらず、何の改善措置も講じられていませんでした。