Tvingは3日、約3954万件のアカウント情報流出を受けた補償策を発表した。対象利用者には5000ウォン分のTvingポイントや視聴環境のアップグレード、1年間の保険などを提供する。一方で現金による補償はなく、すでに退会した利用者は補償を受けるために再登録が必要となることから、実効性を巡る議論も出そうだ。

チェ・ジュヒ代表取締役は同日、ソウル中区のコリアナホテルで開いた「サイバー侵害事故説明会」で、「官民合同調査団の調査結果を重く受け止めている。今回の侵害事故で顧客に大きな心配と不安を与えたことを心よりおわびする。代表取締役として重い責任を感じている」と述べた。

そのうえで、「情報セキュリティ体制全般を抜本的に見直す。情報保護を会社の最重要責任であり競争力そのものと位置付け、顧客の信頼回復に全力を尽くす」と強調した。

同社が公表した補償策は、ハッキングやフィッシング被害に備える保険、プレミアム相当の視聴環境、5000ウォン分のTvingポイント、エンターテインメントクーポンで構成する。

保険は1年間付帯する。ハッキングやフィッシングによるサイバー金融詐欺に加え、ネット通販詐欺や個人間直接取引での詐欺も補償対象とし、1人当たり最大300万ウォンを補償する。

現在利用券を契約している利用者には、10月から12月までの3カ月間、別途申請なしでプレミアム相当の視聴環境を適用する。すでにプレミアム利用券を利用している顧客には、5000ウォン分のTvingポイントを追加で付与する。

情報流出の対象となった利用者には、最新映画などの都度課金コンテンツに使える5000ウォン分のTvingポイントも提供する。加えて、WavveのAVOD1カ月利用券とCGVのコンボ割引クーポンのいずれかを選べるエンターテインメントクーポンも支給する。

チャン・ヒョンギョン事業管理本部長は、この補償パッケージについて「1人当たりに換算すれば、約2万ウォン程度の価値になるとみている」と説明した。

補償に伴う費用負担の総額については明らかにしなかった。社内では関連コストを試算しているものの、実際の補償対象者数や申請率、利用者の選択内容によって変動する可能性があるとしている。

これに先立ち、科学技術情報通信部は同日、官民合同調査団の調査結果として、稼働アカウント2206万件、休眠アカウント850万件、退会アカウント887万件、テストアカウント11万件の計3954万件のアカウント情報が流出したと発表した。ただし、重複アカウントを含む数値であり、実際の流出対象者数は個人情報保護委員会の追加調査を経て確定する見通しだ。

補償方式の実効性を巡る論点も残る。Tvingは休眠アカウントと退会済み利用者も補償対象に含めたが、退会した利用者が補償を受けるには再登録が必要となる。

チェ代表は「購読は不要だが、再登録のうえで当社が保有する情報との照合作業が必要になる」と説明した。Tving側も、退会利用者は再登録後にログインしなければ補償を受けられないと改めて明らかにした。

申請期間は9月7日から30日まで。Tvingは、期間内に専用ページから申請する必要があるとしており、申請期限を過ぎた場合の追加的な救済策については同日時点で具体的に示していない。

◆セキュリティ投資を4倍規模に拡大　脆弱性対応や人員数の違いも説明

Tvingは補償とは別に、情報保護体制の全面的な再整備にも乗り出す。今年は約30億ウォン規模の情報保護投資を、5年後には年間100億～120億ウォン規模へ引き上げる計画だ。社内の情報セキュリティ人員は現在4人前後としているが、年末までに10人へ増員する。外部委託人員を含めると15～16人規模となり、今後5年間で社内外合わせて25～30人規模まで拡充する方針だ。

官民合同調査団が指摘した一部事項については、Tving側から追加説明もあった。調査団は、Tvingが2024年の模擬ハッキングで、開発・運用環境の接続キーがソースコード上に露出している脆弱性を把握しながら、改善しなかったと指摘していた。

これに対し、チョ・ソンデネットワーク技術本部長は、2024年の模擬ハッキングで問題が確認されたプロジェクトと、今回の事故で悪用されたプロジェクトは同一ではないと説明した。その後のサービス変更の過程で、接続キーを使用するプロジェクトを引き継いで関連変更作業を進めていたところ、攻撃を受けたと述べた。

また、合同調査団が情報保護の専任人員を4人前後と算定した一方で、Tvingの情報保護公示では昨年の関連人員が9.4人と記載されている点についても、算定基準の違いによるものだと説明した。Tvingによると、調査団の4人は社内専任人員のみを基準にした数値で、外部委託人員約5～6人を含めれば、実際にセキュリティ業務へ投入している人員は約10人規模になるという。

侵害事故の認知時点を巡る食い違いについては、社内の報告体制が不十分だったと認めた。調査団は、情報セキュリティチームに事故の疑いが共有された5月31日午前10時10分を認知時点と判断したが、Tvingは経営陣に報告され、共同対応体制が稼働した同日午後3時9分を基準に申告していた。

チェ代表は「社内で問題が発生した際に、迅速に情報を展開し、全員で対応できる制度的な体制が不十分だった」と述べた。

もっとも、セキュリティ管理上の不備を巡る責任問題が解消したわけではない。調査団は、全ての開発者に全開発プロジェクトへのアクセス権限を付与していたほか、接続キーを平文で保存したり、社内メッセンジャーで共有したりするなど、キー管理体制全般が不十分だったと判断した。

利用者情報に加え、Tvingサービスの運用・開発に必要なソースコードを含む開発プロジェクト361件も流出した。Tvingは、民間セキュリティ企業による脆弱性の総点検を終え、現在はAIを活用した脆弱性分析と既存コードの改善・変更作業を進めているとした。

経営陣の責任に関する具体的な人事措置については、同日時点で公表しなかった。チェ代表は法的な賠償責任について、関連法に基づいて定められる責任を果たす考えを示した。