韓国の動画配信サービスTVING、約4,000万件の個人情報流出を謝罪…対策と補償を発表

動画配信サービスTVINGが、個人情報流出について公式に謝罪し、大規模なセキュリティ強化対策と被害への補償案を発表した。しかし、2024年の模擬ハッキングで明らかになった脆弱性が改善されていなかった点や、通報が遅れた過程が明らかになり、管理体制に対する責任論が浮上している。

TVINGは昨日（3日）午後、ソウル市中（チュン）区のコリアナホテルで個人情報流出に関する説明会を開催した。同日、科学技術情報通信部の官民合同調査団は、TVINGで有効化・休眠・退会・テストアカウントを含む、総計3,954万件のアカウントの個人情報が流出したと発表した。ソースコードを含む開発プロジェクト361件、約30.35GB規模の技術資産も外部に持ち出されたことが調査で分かった。

流出した個人情報は、氏名、生年月日、携帯電話番号、メールアドレスなど20項目、合計70種にのぼる。ハッカーは5月29日、開発環境のアクセスキーを窃取してTVINGの開発環境に侵入し、情報を抜き取ったことが把握された。

TVINGのチェ・ジュヒ代表は今回の事件について「安全なサービスを提供できなかった点について、代表取締役として重い責任を感じている」と謝罪した。

問題は、このような脆弱性が初めて判明したものではないという点だ。科学技術情報通信部の調査団によると、TVINGは2024年の模擬ハッキングにより、ソースコードに開発・運営環境のアクセスキーが露出する脆弱性を確認していながらも、これを改善しなかった。アクセスキーの管理やアクセス権限の統制も不十分だったことが調査で判明した。

TVINGは、当時の模擬ハッキングの対象に該当プロジェクトが含まれておらず、その後サービスの変更過程で該当プロジェクトを引き継ぎ、変更作業を進めていた最中に攻撃を受けたと釈明した。

TVINGのチョ・ソンデ・ネットワーク技術本部長は「その後、TVINGのサービス変更過程でアクセスキーを使用するプロジェクトを引き継ぐことになった」とし、「該当部分に対する変更作業を進めていたが、その過程でハッキングされ、未然に予防できなかった」と説明した。

通報が遅れた点も指摘された。調査団は、5月31日午前10時10分にセキュリティチームにアクセスキーの窃取と情報流出の疑いが伝達された時点を、事故の認知時点と判断した。しかし、TVINGは翌日の6月1日午後3時8分になってようやく韓国インターネット振興院（KISA）に通報。法定通報期限である24時間を約5時間超過したことになる。

TVINGは、セキュリティチームが状況を把握した時点と、経営陣に報告され、事故対応TF（タスクフォース）が稼働した時点に開きがあったと説明。その上で、社内の事故伝達体制の不備を認め、セキュリティガバナンスを全面的に再編すると明らかにした。

セキュリティへの投資と人材も拡大させる。TVINGは、今年の約30ウォン（約3億円）規模の情報保護投資額を2030年には100億（約10億円）～120億ウォン（約12億円）規模に増やし、内部の情報保護専担人員を年内に10人規模へと拡大させる計画だ。5年以内にセキュリティ専門人材を25～30人規模に増やし、ゼロトラスト基盤のセキュリティ体制や外部検証体制も導入する。

被害を受けた顧客に対する補償案も発表した。個人情報の流出が確認された顧客に対し、1年間最大300万ウォン（約30万円）を保障するハッキング・フィッシング安心保険と、5,000ウォン（約500円）相当のTVINGポイント、WavveまたはCGVのいずれかを選択できるエンターテインメントクーポンを提供する。現在利用中の顧客には、3ヶ月間プレミアム級の視聴環境へのアップグレードを別途の申請なしに適用する。

補償の申請は7日から30日まで行われる。退会・休眠している顧客は再加入後に申請が可能となる。