オンライン動画配信サービス（OTT）「Tving」で、アカウント情報3954万件が流出した。韓国科学技術情報通信部が3日公表した官民合同調査団の調査結果によると、攻撃者は開発者の接続キーを盗み、開発環境を経由して運用環境に侵入。利用者情報に加え、ソースコードを含む技術資産361件も外部に持ち出した。

調査は、韓国インターネット振興院（KISA）などで構成する官民合同調査団が実施した。調査団はTvingの利用者情報DBへの不正アクセスを確認し、開発者接続キーの窃取経緯や侵入経路、流出規模、全社的な情報保護管理体制を点検した。

◆流出は3954万件、全アカウントに相当する規模

調査団によると、流出したアカウントは、現在ログイン可能な有効アカウント2206万件、休眠・退会済みなどの無効アカウント1737万件、テストアカウント11万件の計3954万件。調査団は、Tvingの全アカウントに相当する規模だと説明した。

流出した情報は、ID、パスワード、氏名、携帯電話番号、メールアドレス、生年月日、連携情報（CI）、決済履歴など20項目70種類。CIは住民登録番号の代替として同一利用者を識別する固有値で、有料決済や成人認証などの本人確認手続きで生成・収集される。

もっとも、3954万件という数字が、そのまま実際の被害利用者数を示すわけではない。Tvingは自社登録のほか、CJ ONE統合会員やSNSの簡易登録など複数の加入経路を持ち、同一利用者の重複アカウントが含まれるためだ。調査では、1人で最大13アカウントを保有していた例も確認された。

CIを保有するアカウント1904万件では、重複アカウント約580万件が確認され、これを除くと1324万件となる。この1324万件のうち、休眠アカウントは370万件、退会アカウントは約5万件だった。CI保有アカウントでは1件当たり平均11.1項目、CIのない2040万件のアカウントでは平均4.6項目の情報が流出した。

Tvingが先に個人情報保護委員会へ届け出ていた約1954万件という数字も、確定した被害者数を示すものではない。最終的な個人情報流出規模は、個人情報保護委員会の追加調査を経て確定する見通しだ。

パスワードは一方向暗号化された状態で流出しており、平文への復号はできないとみられる。一方、携帯電話番号とメールアドレスは一部が暗号化されていたものの、暗号鍵も併せて流出しており、調査団は実質的に平文流出と同程度だと判断した。

NaverやKakaoなどSNSの簡易登録利用者については、当該SNS側の追加情報は流出していないという。SNSからTvingへ連携される情報は主に氏名とメールアドレスに限られ、その後の本人確認を通じて携帯電話番号やCI、DIなどを別途収集する仕組みだとしている。

技術資産の流出も確認された。攻撃者は、ソースコードを含む開発プロジェクト361件、約30.35GBを持ち出した。内容には、利用者向けコンテンツの推薦・検索アルゴリズム、利用者管理・認証体系、決済管理、有料サービス運営に関する技術が含まれていた。

調査団は現時点で、流出情報の悪用による利用者被害や、ダークウェブなどでの違法取引・流通の兆候は確認されていないとしている。

◆最初の異常を侵害と認識できず、翌日に約24GB流出

今回の事故は、開発者が保有していた開発環境用の接続キーの窃取が発端だった。調査団は攻撃の流れを、(1)開発環境への侵入 (2)運用環境へのアクセスと管理権限付き接続キーの窃取 (3)運用環境への侵入 (4)1回目の流出の試行 (5)手口を変えた再流出と大規模流出――の5段階に整理した。

攻撃者は事前に入手していた開発環境の接続キーを使い、5月29日にTvingの開発環境へ不正接続した。その後、アクセス可能だった開発プロジェクトを持ち出し、当初14件を流出させた後、最終的に361件すべてを外部へ持ち出した。

調査団は、接続キーがどのように盗まれたかを確認するため、開発者端末9台を対象にフォレンジックを実施。フィッシング、マルウェア、サプライチェーン攻撃、接続キーの共有・誤用、脆弱性悪用の可能性を調べた。

ただ、接続キーが最初にどの経路で攻撃者に渡ったのかは特定できなかった。関連ログの保存期間が過ぎていたほか、端末フォレンジックでも特定の攻撃シナリオを裏付ける証拠は見つからなかった。攻撃者の身元も判明しておらず、警察が捜査を進めている。

大規模なアカウント流出の決定打となったのは、持ち出された開発プロジェクトだった。361件のプロジェクトには運用環境の接続キー43件が含まれており、このうち41件はソースコード内に直接埋め込まれていた。一部は暗号化されないまま平文で保存されていたという。

攻撃者はこのうち2件の接続キーを使って運用環境に侵入した。その後、利用者情報DBにアクセスできるIDとパスワードが暗号化されず保存されていることを突き止めて窃取し、5月30日に最初の情報流出を試みた。この際、DBサーバのCPU使用率が100％まで上昇し、異常兆候を示すアラートが発生したため、Tvingは進行中だったデータ流出作業を遮断した。

しかしTvingは、この警告を侵害事故の兆候ではなく一般的なシステム障害と判断した。調査団のパク・ヨンギュ副団長は「当時ハッキングと認識していれば対応していたはずだ」とした上で、「CPUの過負荷とみて接続遮断以外の追加対応を取らず、結果として二次被害につながった」と説明した。

攻撃者は翌5月31日、手口を変更した。仮想サーバを新たに作成し、利用者情報を外部へ持ち出す経路として利用。これにより約24GBの利用者情報を海外サーバへ流出させ、痕跡を消すため仮想サーバを削除した。

2回目の攻撃では、1回目のようなCPU過負荷の警告は発生しなかった。調査団は、当時CPU使用率が10％以内に抑えられていたことから、攻撃者が検知を避けるため意図的にCPU使用率を制限したとみている。

データが海外サーバへ送られた痕跡は確認されたが、現時点で当該サーバにデータが残っているかどうかは確認できていない。サーバの所在地やデータの流れについては、警察捜査で解明が進む見通しだ。

◆全開発者が全プロジェクトにアクセス可能、既知の脆弱性も放置

Tvingの情報保護管理体制では、複数の問題点が確認された。開発者は開発・運用環境の接続キーをソースコードにハードコードしたり、平文で保存したりしており、一部の接続キーは社内メッセンジャーなどで共有されていた。

特に、すべての開発者がすべての開発プロジェクトにアクセスできる状態だった。開発環境の接続キーを1つ奪われるだけで全プロジェクトにアクセスできる構造であり、接続キーの発行、使用、変更、廃棄、定期点検を管理する手続きも十分に整備されていなかった。

セキュリティ監視も、CPU負荷など単純なシステム指標への依存が大きかった。ネットワークやデータの異常な流れをリアルタイムで検知・遮断する体制が不十分だったほか、許可したIPアドレスからのみアクセスを認める仕組みや、多要素認証（MFA）を適用するアクセス制御方針も備えていなかった。

情報保護人員も不足していた。Tvingの従業員数は265人、開発人員は149人だが、外部委託を除く自社の情報保護専任人員は4人前後にとどまっていた。韓国科学技術情報通信部は、今後Tvingが人員・予算の拡充案を策定した場合、類似業種や企業規模と比較しながら妥当性を検討する方針を示した。

既に把握していた脆弱性が放置されていた可能性もある。Tvingは2024年の模擬ハッキングで、開発・運用環境の接続キーがソースコードにハードコードされている問題を確認していたにもかかわらず、改善していなかった。新規VPN機器の接続記録は約6日分しか保存しておらず、業務用PCへのウイルス対策ソフトの導入・更新など、定期的なセキュリティ点検も不十分だった。

接続キー管理の問題は、情報保護管理体系（ISMS）の認証基準にも明記されているが、Tvingはこれを順守していなかった。韓国科学技術情報通信部は、ISMS認証制度の補完を検討するとしている。

◆情報セキュリティ部門への共有は14時間後、当局への届け出も遅れ

侵害事故への対応と社内報告プロセスにも問題があった。5月30日午後6時ごろに最初の異常兆候が発生したが、侵害事故対応を統括する情報保護専任組織と最高情報保護責任者（CISO）に状況が適切に共有されるまで、約14時間かかった。

調査団は、5月31日午前10時10分に情報セキュリティチームへ、運用環境接続キーの窃取と情報流出の疑いが共有された時点を事故認知時刻と判断した。現行の情報通信網法では、認知後24時間以内に韓国科学技術情報通信部またはKISAへ届け出る必要があるが、TvingがKISAへ申告したのは約29時間後の6月1日午後3時8分だった。

調査団は、最初の異常アラーム後、原因分析に時間を要したうえ、関連状況が情報セキュリティ部門へ直ちに共有されなかったと説明した。韓国科学技術情報通信部は、申告遅延について情報通信網法に基づき3000万ウォン以下の過料を科す方針だ。

調査団はTvingに対し、接続キーの管理・統制やアクセス権限体系の構築、運用管理基準の明確化を求めた。あわせて、ログ保存管理方針とキー履歴管理体制の整備、異常行為の検知や大量データ照会のモニタリング強化など、アクセス制御方針の見直しも促した。十分な情報保護専任人員と予算の確保、侵害事故発生時の報告体制の改善も必要だとしている。

韓国科学技術情報通信部は今月中に、Tvingから再発防止策の履行計画を受け取り、10～12月に履行状況を点検する。来年1月からは本格的な履行点検に入り、補完が必要な事項については是正措置を命じる方針だ。

もっとも、今回の事故は5月に発生しており、強化後の規定は適用されない。個人情報流出時に総売上高の最大10％まで懲罰的課徴金を科す改正個人情報保護法は9月11日施行、企業の申告前でも調査に着手できる改正情報通信網法は10月1日に施行される。課徴金の規模は、個人情報保護委員会の具体的な調査を経て算定される見通しだ。

Tvingも今回の事態について改めて謝罪した。チェ・ジュヒ代表は「官民合同調査団の調査結果を謙虚に受け止める」としたうえで、「お客さまにご心配とご不安をおかけしたことを心よりおわびする。再発防止策を責任を持って履行する」とコメントした。