暗号資産取引所Bithumbは10月29日、社内向けモバイルグループウェアへの不正アクセスにより、顧客6444人分の個人情報が漏えいしたと発表した。このうち844人分では、住民登録番号や運転免許番号、口座番号、身分証明書の写しなども流出した。従業員715人分の個人情報も漏えいしたという。

同社によると、不正アクセスを受けたのは社内モバイルグループウェアシステム「DAOU Office」。10月27日に第三者が不正に侵入し、顧客と従業員の個人情報が流出したとしている。

漏えいした顧客情報は計6444人分。このうち5600人分は暗号化されていたファイルとして流出した一方、残る844人分は氏名、携帯電話番号、メールアドレス、住民登録番号、運転免許番号、口座番号、身分証明書の写しなどが漏えいした。

不正アクセスは27日午前11時28分から午後0時27分までの間に発生した。同社は同日午後0時14分に異常なアクセスを検知し、攻撃者のアクセス経路を遮断するとともに、当該システムの利用を停止するなど緊急のセキュリティ対策を講じた。

Bithumbは事故当日に韓国インターネット振興院（KISA）へ被害を届け出たほか、翌28日には韓国の個人情報保護委員会に従業員情報の漏えいを報告した。

ただ、当初は顧客情報の流出有無を確認できていなかった。その後の追加分析で顧客情報の漏えいが判明したため、29日にあらためて公表した。

同社は、漏えいした情報について、従業員が業務で社内モバイルグループウェア上に保存・処理していた資料に含まれていたものとみている。

一方で、被害を受けた社内システムは、顧客の取引所アカウントや保有資産情報を管理するシステムとは分離されており、取引所サービスや顧客データベース（DB）への直接の侵害は確認されていないと説明している。

Bithumbは29日午後から、個人情報が漏えいした顧客に対し、被害内容などを個別に案内する予定だ。

あわせて、Bithumbの従業員を装って認証番号を求めたり、アプリのインストールを促したりする連絡には応じないよう注意喚起した。被害申告や問い合わせについては、公式カスタマーセンターの利用を呼びかけている。

イ・ジェウォン代表取締役は「ご心配とご不安をおかけしたことを深くおわびする」とコメント。「個人情報が漏えいした顧客に二次被害が確認された場合は、被害救済と補償に最善を尽くす」とした。

その上で、「今回の事故を機に、社内業務インフラ全般のセキュリティ体制を原点から見直し、再発防止に総力を挙げる」と述べた。