動画配信サービス「Tving」で発生した不正アクセス被害を巡り、韓国の科学技術情報通信部は3日、計3954万件のアカウント情報が流出したとする調査結果を公表した。攻撃者は開発者が保有していた接続キーを足掛かりに開発環境へ侵入し、その後、本番環境を経由して利用者情報データベース（DB）から情報を持ち出したとみられる。

調査は、同部が韓国インターネット振興院（KISA）などと組成した官民合同調査団が実施した。調査団はTvingの利用者情報DBに対する不正アクセスを確認し、接続キー流出の経緯や侵入経路、被害規模、全社的な情報保護体制を点検した。

流出が確認されたアカウントは、現在ログイン可能な有効アカウント2206万件、休眠・退会済みなどの無効アカウント1737万件、テストアカウント11万件の計3954万件だった。

ただし、この件数は実際の利用者数と一致しない。Tvingでは自社登録のほか、CJ ONE統合会員やSNSの簡易登録など複数の経路で加入できるため、同一利用者による重複アカウントが含まれる。調査では、1人が最大13アカウントを保有していた事例も確認された。

流出した情報は、ID、パスワード、氏名、携帯電話番号、メールアドレス、生年月日、連携情報（CI）、決済履歴など20項目70種類に上る。CIは、住民登録番号に代わる本人識別用の固有値で、有料決済や成人認証などの本人確認手続きで生成・収集される。

流出項目数にはアカウントの属性による差もあった。CIを保有するアカウントは1904万件（重複排除後1324万件）で、1アカウント当たり平均11.1項目が流出した。一方、CIを持たない2040万件では平均4.6項目だった。個人情報の最終的な流出規模については、個人情報保護委員会が追加分析を経て確定する予定だ。

パスワードは一方向暗号化された状態で流出しており、平文への復号は困難と確認された。一方、携帯電話番号とメールアドレスは一部が暗号化されていたものの、暗号鍵も併せて流出しており、調査団は実質的に平文流出に近い水準と判断した。

技術資産の流出も判明した。攻撃者はソースコードを含む開発プロジェクト361件、約30.35GBを持ち出した。利用者向けコンテンツの推薦・検索アルゴリズム、利用者管理・認証基盤、決済管理、有料サービス運用に関する技術が含まれていたという。

もっとも、現時点で流出情報の悪用による利用者被害は確認されていない。科学技術情報通信部は、ダークウェブなどでの違法取引や流通の兆候も確認されていないとしている。

今回の攻撃は、開発者が保有していた接続キーの窃取が発端だった。調査団は侵入から流出までの流れを、（1）開発環境への侵入（2）本番環境へのアクセス権限を持つ接続キーの窃取（3）本番環境への侵入（4）第1次流出の試行（5）第2次流出の試行と大規模流出――の5段階に整理している。

攻撃者は事前に開発者の開発環境用接続キーを入手し、5月29日にTvingの開発環境へ不正接続した。その後、アクセス可能だった開発プロジェクトの持ち出しを始め、第1次攻撃で14件、第2次攻撃で361件すべてを流出させた。

調査団は、最初の接続キーがどのように窃取されたかを確認するため、開発者端末9台をフォレンジック分析した。フィッシング、マルウェア、サプライチェーン攻撃、接続キーの共有や誤用、脆弱性悪用の可能性を検証したが、キー管理体制の不備とログ保存期間の短さから、具体的な流出経路の特定には至らなかった。

流出した開発プロジェクトは、その後のシステム侵入の足掛かりにもなった。調査団によると、これらのプロジェクトには本番環境へ接続できる別の接続キーが含まれていた。361件の開発プロジェクトの中に本番環境用接続キーが43件あり、このうち41件はソースコード内に直接記述されたハードコード状態だった。暗号化されず平文で保存されていたものもあったという。

攻撃者はこの43件のうち2件を実際の攻撃に使用した。その後、本番環境に侵入し、利用者情報DBへアクセスするためのIDとパスワードが暗号化されず保存されていることを突き止め、これを窃取した。

5月30日には、入手した接続情報を使って第1次の情報流出を試みた。この際、DBサーバのCPU使用率が100％まで上昇し、異常兆候アラートが発生したため、Tvingが当該作業を遮断した。

攻撃者は翌31日、仮想サーバを新設し、そこを経由して利用者情報約24GBを外部サーバへ持ち出した。その後、痕跡を隠すため仮想サーバも削除した。この第2次攻撃では、第1次攻撃時と異なりDBサーバの高負荷アラートは発生しなかった。調査団は、CPU使用率が10％以内に抑えられていた点から、攻撃者が意図的にCPU使用率を制御したとみている。

Tvingの情報保護管理体制にも複数の問題が見つかった。開発者は開発・本番環境の接続キーをソースコードにハードコードしたり、平文で保存したりしていた。一部では、社内メッセンジャーなどを通じて他者と共有していたケースも確認された。

特に問題視されたのは、すべての開発者に全開発プロジェクトへのアクセス権限が付与されていた点だ。このため、開発環境用接続キーが1つ流出しただけで、全プロジェクトにアクセスできる構造になっていた。接続キーの発行、使用、変更、廃棄、定期点検を管理する手続きも十分に整備されていなかったという。

監視体制の不備も明らかになった。TvingはCPU負荷のような単純な指標に依存しており、ネットワークやデータの異常な挙動をリアルタイムで検知・遮断できていなかった。許可済みIPアドレスのみに接続を制限する、あるいは多要素認証（MFA）を適用するといったアクセス制御方針も欠けていたと調査団は結論付けた。

情報保護人材の不足も浮き彫りになった。Tvingの従業員数は265人、開発人材は149人だが、外注人材を除く情報保護の専任人材は4人前後にとどまっていた。調査団は、この体制では常時監視や脆弱性点検、異常行為のモニタリングを十分に実施するには限界があると判断した。

模擬侵入試験の結果も事故防止にはつながっていなかった。Tvingは2024年の模擬ハッキングで、開発・本番環境の接続キーがソースコードにハードコードされている問題を把握していたが、改善していなかった。新規VPN機器の接続ログも約6日分しか保管しておらず、ログ管理は不十分だった。業務用PCへのウイルス対策ソフトの導入・更新など、定期的なセキュリティ点検も十分ではなかった。

事故対応の過程でも課題があった。5月30日午後6時に最初の異常兆候が発生したものの、侵害事故対応を統括する情報保護専任組織と最高情報セキュリティ責任者（CISO）に状況が共有されたのは約14時間後だった。

調査団は、Tvingが5月31日午前10時10分に情報セキュリティチームへ本番環境用接続キーの窃取と情報流出の疑いを共有した時点を、「侵害事故の認知時点」と判断した。現行の情報通信網法では、侵害事故を認知してから24時間以内に科学技術情報通信部またはKISAへ届け出るよう定めている。

しかし、TvingがKISAに届け出たのは翌6月1日午後3時8分だった。これを受け、科学技術情報通信部は届け出遅延について、情報通信網法に基づき3000万ウォン以下の過料を科す方針だ。

調査団はTvingに対し、接続キーの管理・統制とアクセス権限管理の仕組みを整備し、運用管理基準を明確化するよう求めた。あわせて、ログ保存管理方針の策定、キーの履歴管理体制の構築、常時点検の実施を要請。異常行為の検知や大量データ参照の監視強化など、アクセス制御方針の見直しも必要だと指摘した。十分な情報保護専任人材と予算の確保も求めている。

科学技術情報通信部は今月中に、Tvingに再発防止策の履行計画の提出を求める。10〜12月に履行状況を点検し、来年1月からは補完が必要な事項について是正措置を命じる方針だ。