官民合同調査団が、この500日間に相次いだ通信・放送分野の大規模サイバー侵害事故の実態解明を進めてきた。SK TelecomのSIM情報流出をはじめ、KTやLG U+、さらに直近のTvingのアカウント大量流出まで、主要事案の調査を通じて共通するセキュリティ上の弱点が浮かび上がった。

官民合同調査団は、情報通信網法に基づき、重大な侵害事故が発生した際に編成される期限付きの組織だ。2014～2023年には6回編成されていたが、昨年4月以降は大規模事故が相次ぎ、調査対象も急速に広がった。

対象は、移動通信のコアネットワークやSIM情報、不正基地局、企業サーバー、OTTのデータベースや開発環境など、通信・放送プラットフォームの基幹インフラ全般に及んだ。

◆SK Telecomのサーバー点検、KTの不正フェムトセル追跡　通信各社を広範囲に調査

調査団の活動が大きく注目を集めたのは、昨年4月に発生したSK TelecomのSIMハッキング事案だった。調査団は、同社が運用するサーバー4万2605台を対象に、マルウェア感染の有無を点検した。

その結果、28台のサーバーからBPFDoorを含む33種類のマルウェアを検出した。電話番号や加入者識別番号（IMSI）など25種類、計9.82GBのSIM関連情報が外部に流出し、IMSIベースでは約2696万件に上った。

調査は、攻撃手法や被害規模の把握にとどまらなかった。サーバーのアカウント情報や重要情報の管理を含め、SK Telecomの社内情報保護体制にも不備があったことが確認された。

さらに、同社が2022年に一部サーバーでマルウェアを把握していながら、侵害事故として政府に届け出ず独自対応していた事実も判明した。複数の帰責事由が確認されたことから、ハッキング後の追加被害を懸念して解約する利用者には違約金免除措置が講じられた。

数カ月後には、調査の焦点が再び通信事業者に移った。昨年9月、KT加入者を狙った不正な少額決済被害が明らかになり、その発端が事業者に登録されていない不正な小型基地局「フェムトセル」の内部ネットワーク接続だったことが判明した。

科学技術情報通信部はKTに資料保全命令を出し、官民合同調査団を編成した。調査団は、警察が確保した不正フェムトセルを分析するとともに、KTが保有する約3万3000台のサーバーを6回にわたって点検した。

その結果、不正フェムトセルに接続した利用者2万2227人のIMSI、端末識別番号（IMEI）、電話番号が流出したことが確認された。さらに、368人に約2億4300万ウォンの不正な少額決済被害が発生していた。

調査では、フェムトセル認証や内部ネットワークへのアクセス管理の不備に加え、全社的な資産管理、サプライチェーンセキュリティ、ログ管理にも問題が見つかった。KTも自主点検の過程でウェブシェルやBPFDoorなどを発見していながら、政府に届け出ていなかったことが明らかになった。

KTもSK Telecomと同様、他社へ乗り換える顧客に対して違約金免除措置を実施した。

一方、LG U+の事案は、調査団が最後まで全容を解明できなかったケースとなった。昨年8月、米セキュリティ専門誌「Phrack」を通じて、社内情報流出の兆候が指摘された。

ただ、LG U+が調査着手前の8～9月に、事案に関連する統合サーバーアクセス制御ソリューション（APPM）サーバーのOSを再インストール、または廃棄していたため、正確な侵入経路や被害範囲を特定できなかった。現在、この事案は警察が捜査している。

通信以外の分野では、Coupangの侵害事故にも調査団が投入された。直近で調査対象となったのは、OTTプラットフォームのTvingだ。

Tvingではハッキングにより、アクティブアカウント2206万件、休眠・退会などの非アクティブアカウント1737万件、テストアカウント11万件の計3954万件のアカウント情報が流出した。調査団は、攻撃者が開発者の接続キーを奪取して社内システムに侵入し、開発プロジェクトを外部に持ち出したことなど、原因と被害範囲を明らかにした。

調査では、脆弱なセキュリティ運用も確認された。Tvingは接続キーを体系的に管理しておらず、不審な行為を検知する監視体制も整っていなかった。情報保護の担当人員は4人前後にとどまり、ログ管理も不十分だった。

また、2024年の模擬ハッキングで確認された脆弱性も是正されていなかったという。

◆繰り返された「基本対策」の不備　調査は制度見直しにも波及

500日間で調査団が向き合った攻撃手法は事案ごとに異なった。SK Telecomではマルウェアが中核通信サーバーに侵入し、KTでは不正フェムトセルが事故の起点となった。Tvingでは、開発者の接続キー1つが社内システムへの侵入とアカウント流出につながる連鎖的なハッキングの出発点となった。

その一方で、調査結果には共通点も多かった。アカウントや認証情報の管理、ログ保全、異常兆候の検知、サーバーやネットワークの資産管理といった基本的なセキュリティ対策で、同様の問題が繰り返し確認された。

SK TelecomとKTでは、過去にマルウェア感染の兆候を把握しながら届け出ていなかった事実が判明した。Tvingは侵害事故を認知しながら、法定期限を過ぎて届け出ていた。LG U+では、調査に必要なサーバーが再インストールまたは廃棄され、証拠保全の課題が浮き彫りになった。

セキュリティ業界関係者は「事故のタイプは異なっても、アカウント管理やログ保全、異常兆候の検知といった基本部分で問題が繰り返されている」と指摘する。「技術的な攻撃経路だけでなく、社内のセキュリティ運用体制まで含めて点検する必要がある」と話した。

調査団の活動は、制度見直しのきっかけにもなった。政府は、重大・反復違反に対する制裁強化、情報保護投資の拡大、先制的な事故調査の推進を進めている。情報保護管理体制（ISMS・ISMS-P）認証制度の改善や、脆弱性の申告・是正体制の強化も進んでいる。