個人情報保護委員会（以下、個人情報委）は、個人情報保護法規を違反したGSリテイルに対し、過料128億3600万円と過怠金300万円を科した。エンライズとSKテレコムにも過料・過怠金処分を行い、エイトーズには警告措置を取った。
個人情報保護委は、先日26日に第17回全体会議を開催し、個人情報保護法規を違反したGSリテイル、エンライズ、SKテレコム、エイトーズの3社に対して、合計129億5444万円の過料と1020万円の過怠金を科したと31日に発表した。また、再発防止策の策定などの是正命令と、該当事業者のホームページに結果を公表することを決議した。
個人情報委は、これらの事業者がすべて個人情報処理システムに対するアクセス制御などの安全措置を怠ったため、個人情報が流出したと見ている。
GSリテイルには過料128億3600万円、過怠金300万円が科された。
個人情報委によると、身元不明のハッカーはGSリテイルが運営するGS SHOPのホームページに2024年6月21日から2025年2月13日まで、GS25のホームページには2024年12月26日から2025年1月4日まで「クレデンシャルスタッフィング」攻撃を試みてログインに成功した。クレデンシャルスタッフィング攻撃は、事前に取得した多数のID、パスワード情報を無差別に当てはめて接続（ログイン）を試みる攻撃手法である。
その後、会員情報修正ページにアクセスし、GS SHOPで158万1025人、GS25で7万9128人の個人情報（名前、性別、生年月日、連絡先、住所、メールアドレスなど）が流出した。
GSリテイルは、短時間のうちに同一IPアドレスから大規模なログイン試行が発生した場合、それを検知・遮断する対策を講じていなかった。ログイン試行およびログイン失敗が急激に増加する異常事態が発生していたにもかかわらず、これを認識できず、長期間にわたって流出が続いた。
GSリテイルは流出事実を認識した後も適切な対応をせず、GS SHOPでの個人情報流出が追加で発生した。2025年1月4日にGS25のホームページで初めて個人情報流出を認識したにもかかわらず、GS SHOPのホームページでも同様の攻撃が発生している事実は同年2月になって初めて把握した。このため、初回の流出認識以降の1月4日から2月13日まで、個人情報流出が続いた。
GS25のホームページで個人情報流出を認識しながら、流出事故への対応を十分に行わなかったため、GS SHOPのホームページで発生していた同様の攻撃を即座に把握できなかった。このため、初回の流出を認識した2025年1月4日以降も2月13日まで個人情報流出が続いた。特にGS25攻撃に使用されたIPアドレスのうち327個は、GS SHOP攻撃でも同様に使用されていたことが確認された。
事故当時、個人情報専任組織がなく、セキュリティ運営が二元化されるなど、個人情報保護組織の構成・運営も不十分であったことが明らかになった。初回の流出通知後の調査過程で流出対象者1599人が追加で確認されたが、正当な理由なく72時間が経過した後に流出事実を通知したことも確認された。
これに対し、個人情報委はGSリテイルに過料128億3600万円と過怠金300万円を科し、ホームページに処分事実を公表するよう命じた。
また、サービス接続量とパターンを分析して異常接続を識別できるセキュリティポリシーを適用するなどの再発防止策を講じ、個人情報保護専任人員の配置と個人情報保護責任者（CPO）の権限・責任の明確化など、ガバナンス体系全般を点検・改善するよう是正命令を出した。
個人情報委はエンライズに対して過料1億1844万円と過怠金360万円を科した。エンライズが運営するデーティングアプリでは、身元不明のハッカーが本人確認の脆弱性を利用して2023年3月23日から27日まで1万6803件の携帯電話番号でログインを試みた。この過程で736件のアカウントのニックネーム、性別、プロフィール写真、生年月日、性格、学歴、職業、身長、血液型などの個人情報が流出した。
調査の結果、エンライズはアプリ内の本人確認の脆弱性に対する点検・措置を怠り、同一IPから発生する過剰接続を遮断するポリシーを設定しないなど、安全性確保措置義務を違反していることが確認された。
個人情報委はSKテレコムに過怠金360万円と是正命令を出し、エイトーズには警告処分を行った。
エイトーズはSKテレコムからメタバースサービス『イフランド』のイベント進行を委託され、イベント用ウェブサイトを制作・運営した。この過程で2022年11月21日から2023年1月3日まで管理者ページが検索エンジンに露出し、1140人の名前と携帯電話番号が流出した。
調査の結果、エイトーズは管理者ページに対するIPアドレス制限などのアクセス制御措置を行っていなかったことが確認された。SKテレコムは個人情報流出事実を認識した後、24時間を超えて流出通知・報告を行ったことが明らかになった。
今回の事件には旧個人情報保護法が適用されており、情報通信サービス提供者は個人情報流出を認識した後、24時間以内に流出事実を通知・報告しなければならない。
個人情報委は今回の処分を通じて、個人情報処理システム運営時に未承認のアクセスを制限するなどのアクセス制御措置、定期的な脆弱性点検・措置といった基本原則を遵守することを強調した。また、個人情報流出事故が発生した場合、情報主体がこれを迅速に認識し対応できるよう、72時間内に流出報告・通知を行うよう求めた。
GSリテイルは「当社は主要な役員と外部専門家が参加する『情報セキュリティ対策委員会』を構成し、セキュリティ対応体制を高度化するなど、事故後にセキュリティシステムと管理体制を全面的に点検し、情報保護レベルを強化してきた」と述べ、「顧客最優先の観点から、全社的な個人情報保護を主要経営課題として、従業員教育や内部管理体制の整備など再発防止に向けた努力を続けている。今後も顧客情報保護と個人情報流出再発防止に最善を尽くす」と語った。
* この記事はAIによって翻訳されました。
