オンライン動画サービス（OTT）ティービングにおいて、活性化・休眠・退会アカウントを含む合計3954万件のアカウントの個人情報が流出したことが確認された。アカウントに対する実際の流出被害者数は大幅に減少する見込みである。1人が最大13件のアカウントを保有するなど、重複アカウントが多いため、正確な被害者数は推定できていない。
3日、科学技術情報通信部（過技情報部）は、5月に発生したティービングの個人情報流出事故に関する民間と官庁の合同調査団の調査結果を発表した。その結果、重複を含む約3954万件のアカウントが流出した。
流出したアカウントは、ティービングサービスにログイン可能な状態の活性化アカウント2206万3021件、1年以上未接続で非活性化された休眠アカウント850万2679件、会員退会により非活性化された退会アカウント886万8174件、テストアカウント10万6823件である。
この中で、同一人物が複数のアカウントを保有しているケースも多く見られた。ティービングの場合、ソーシャルネットワーキングサービス（SNS）ログインを通じて多数のアカウントを保有できる構造であり、1人の利用者が最大13件のアカウントを保有している事例もあった。
加入タイプ別では、ティービング自体に加入したアカウントは726万件、CJ ONE統合会員アカウントは863万件、SNS簡易加入アカウントは2247万件であることが確認された。
調査団は今回の事故で、△ID △パスワード △CJ ONE統合ID △氏名 △携帯電話番号 △メールアドレス △生年月日 △住民登録番号を代替し、個人を特定する連携情報（CI）など、合計20項目が流出したと把握している。
携帯電話番号やメールアドレスなどは一部暗号化された状態で流出した。しかし、暗号鍵も流出したため、復号化が可能であり、調査団は平文情報と同じレベルと判断した。
パスワードは一方向暗号化された状態で流出しており、平文で復号化できないことが確認された。
アカウントの特性に応じて流出した個人情報の範囲にも差異があった。CIを保有したアカウントは1904万件で、重複を除くと1324万件である。これらのアカウントでは平均11.1項目の個人情報が流出した。一方、CIを保有していないアカウント2040万件では平均4.6項目が流出したとされている。
したがって、実際の被害者数は全体の流出アカウント数よりも少ないと予想される。テストアカウントを除き、CI保有アカウントの重複を除去するとアカウント数は3364万件となる。ただし、CI未保有アカウントは同一人物が複数のアカウントを保有しているか確認が難しく、重複をすべて除去した実際の被害者数はまだ算定されていない。調査団は今後、個人情報保護委員会が流出規模を詳細に分析した後、具体的な数値を発表すると述べた。
◇攻撃者、開発環境接続キーを奪取…流出プロジェクトは合計30.35GB
調査団は被害規模とともに、攻撃者の侵入経路や個人情報奪取手法も公開した。その結果、攻撃者がティービングの開発者の『開発環境接続キー』を奪取し、システム内部の開発環境と運営環境に侵入したことが確認された。攻撃者は2回にわたり開発プロジェクトを持ち出した。1回目の攻撃では14件、2回目の攻撃では開発環境にアクセスできるプロジェクト361件が流出した。流出したプロジェクトは合計30.35GBの規模で、利用者向けのコンテンツ推薦・検索アルゴリズムや利用者管理・認証システム、決済・有料サービス運営に関連するソースコードなど、ティービングの核心技術資産が含まれていた。
この中で43件のプロジェクトのソースコードには、ティービングの運営環境に侵入できる『運営環境接続キー』が含まれていた。利用者情報が保存されたデータベース（DB）のIDとパスワードも暗号化されずに平文で保存されていた。
攻撃者はこれを利用して、5月30日にDBにアクセスし、個人情報流出を試みた。その際、DBサーバーの中央処理装置（CPU）利用率が100%に達し、異常兆候の通知が発生し、ティービングは関連作業を遮断した。
すると、攻撃者は翌日、別の運営環境接続キーで内部の仮想サーバーを生成し、再度攻撃を行った。DBに保存された利用者情報24GBをその仮想サーバーに移動させた後、外部サーバーに持ち出し、痕跡を消すために仮想サーバーを削除した。2回目の攻撃では、サーバー作業量の増加に伴う異常兆候の通知も発生しなかった。
◇ティービング、全体的なセキュリティ不備…情報保護専任人員はわずか『4名』
調査団は接続キー管理やアクセス権限の制御、異常行動の検知など、ティービングの全般的な情報保護体制が不備であり、被害を拡大させたと判断した。開発・運営環境接続キーをソースコードにそのまま露出させたり、平文で保存したり、社内メッセンジャーで共有した事実が確認された。すべての開発者に全開発プロジェクトへのアクセス権限が与えられており、接続キー1つを奪取するだけでプロジェクト全体にアクセスできる状態であった。CPU負荷などの異常兆候が発生した際も、リアルタイムで検知・対応する体制が不足していた。ティービングは2024年の模擬ハッキングで接続キーの『ハードコーディング』の脆弱性を発見したにもかかわらず、改善を行わなかった。情報保護専任人員も4名で、開発人員149名、全従業員265名に対して不足していることが調査で明らかになった。新規仮想プライベートネットワーク（VPN）機器の接続記録は約6日分しか保存されておらず、業務用PCのウイルス対策管理など定期的なセキュリティ点検も不十分であった。侵害事故を認知した後、約29時間後に韓国インターネット振興院（KISA）に報告し、24時間以内に報告することを規定した情報通信網法にも違反した。
科学技術情報通信部はティービングに対し、今回の調査結果に基づく再発防止対策の実施計画を今月中に提出するよう求めた。ティービングは10月から12月まで対策を実施し、科学技術情報通信部は来年1月から実施状況を点検する。点検結果で補完が必要な事項には、情報通信網法に基づき是正措置を命じる計画である。
一方、ティービングはこの日、公式な立場とともに今後の情報セキュリティ強化計画、顧客補償策などを発表する予定である。
* この記事はAIによって翻訳されました。
亜洲日報の記事等を無断で複製、公衆送信 、翻案、配布することは禁じられています。
