OTT（動画配信サービス）「Tving」で発生した大規模な個人情報流出を巡り、政府の調査結果に注目が集まっている。流出件数は1900万人超に上り、Tvingの利用規模を大きく上回るため、実利用者ベースの人数なのか、アカウント数ベースなのかが最大の焦点だ。侵入経路や情報管理の実態、今後の制裁判断にも関心が集まっている。

業界関係者と科学技術情報通信部によると、民官合同調査団はTvingの個人情報流出事故に関する調査を終え、週内にも結果を公表する見込みだ。

Tvingは6月3日、外部からの不正アクセスにより利用者の個人情報が流出したと公表した。流出した情報には、ID、氏名、生年月日、性別のほか、連携情報（CI）、重複加入確認情報（DI）、携帯電話番号、メールアドレス、返金口座番号、パスワードが含まれる。

◆利用規模を上回る流出件数　退会・休眠・提携アカウント管理が論点に

事故当初に政府が把握していた流出規模は約1300万人だったが、その後の調査で1953万人まで拡大した。イ・ジョンホン議員（共に民主党）は「流出項目には機微性の高い識別情報が多数含まれており、二次被害への懸念が非常に大きい」とした上で、「CIとDIは変更できず、なりすましなどの金融犯罪に悪用されるリスクが高い」と指摘した。

問題は、この1953万人という件数がTvingの実際の利用規模と大きくかけ離れている点だ。Tvingの有料会員は約500万人規模で、月間アクティブユーザー（MAU）も1000万人に満たない。現在の利用者数だけでは、1953万人という規模を説明しにくい。

このため、調査結果ではまず、1953万人が実利用者ベースの人数なのか、アカウントベースの件数なのかが確認される見通しだ。複数の登録経路を通じて複数アカウントを保有する利用者が重複計上された可能性や、退会会員、長期間利用していない休眠会員の情報がどの程度含まれていたかも焦点となる。

NaverやKakaoの簡易ログイン、通信事業者のバンドル商品など、提携チャネル経由でTvingを利用した顧客の情報も流出対象に含まれるとみられており、被害範囲の算定を複雑にしている。

退会会員の情報が実際にどの程度含まれていたかは、Tvingの管理責任を見極める上で重要なポイントになる。退会後、法令上の保存根拠がない個人情報が残ったまま流出していた場合、個人情報の保有・廃棄プロセスの妥当性も問われる可能性がある。業界関係者は「被害規模は、その後に個人情報保護委員会が課徴金を算定する際にも影響するため、特に注視すべき要素だ」と話した。

◆侵入経路の解明が焦点　個人情報保護委員会の制裁判断にも影響

ハッカーがTvingのシステムにどう侵入し、大量の個人情報が外部流出に至ったのかも重要な論点だ。Tvingは5月30日にシステム異常の兆候を初めて検知し、6月2日に利用者の個人情報を保存するDBに不正アクセスがあり、情報が流出したとみられることを把握した。

政府調査では、ハッカーがどの脆弱性や認証情報を悪用して内部システムに侵入し、その後どの経路で個人情報が保存されたDBに到達したのかが調査の焦点になる見通しだ。

大量の個人情報の照会や外部送信が行われる過程で、Tvingのセキュリティシステムが適時に検知・遮断できていたかも確認される。異常の初回検知から流出の把握まで数日の開きがあっただけに、社内の監視・対応体制が適切だったかどうかも責任範囲を左右する要素となりそうだ。

もっとも、民官合同調査団の結果が公表されても、制裁水準が直ちに決まるわけではない。個人情報保護委員会が別途、Tvingの個人情報保護法違反の有無を調べているためだ。

個人情報保護委員会は、法違反が確認されれば、違反行為の重大性や関連売上高などを踏まえて、課徴金や過料などの制裁水準を決定する。実際の流出規模のほか、不要な個人情報を保管していたかどうか、事故対応の適切性なども判断に影響する可能性がある。

政府の調査結果は、今後Tvingが負う民事上の責任にも影響を与えるとみられる。個人情報流出を受け、利用者を中心に損害賠償訴訟の動きが続いており、具体的なセキュリティ上の過失や個人情報管理上の問題が確認されれば、訴訟の主要な根拠として使われる可能性がある。

Tving側も別途、顧客補償案の準備を進めている。CJ ENMは先の第2四半期決算のカンファレンスコールで、Tvingの個人情報流出事故に関する補償案を9〜10月に公表する計画を明らかにした。業界によると、Tvingは合同調査団の結果公表に合わせて別途ブリーフィングを準備しているという。

業界関係者は「今回の調査では、基本的な侵入経路に加え、流出規模の確定が核心的な争点になる」とした上で、「今後の制裁水準によっては、OTT業界の競争環境に影響が及ぶ可能性もある」と述べた。