オンライン動画サービス(OTT)ティービングにおいて、アクティブ・休眠・退会アカウントを含む合計3954万件のアカウント情報が流出したことが確認された。1人が最大13件のアカウントを保有するなど、重複アカウントが多く、実際の被害者数はまだ算定されていない。ネイバーやカカオなどの社会関係網サービス(SNS)アカウント自体が侵害された形跡は確認されていない。
3日、科学技術情報通信省(科学技術省)は、5月に発生したティービングの個人情報流出事故に関する民間共同調査団の調査結果を発表した。調査団の関係者は「重複を含む約3954万件のアカウントが流出した」と述べた。
調査団によると、流出したアカウントは、アクティブアカウント2206万3021件、1年以上接続していない休眠アカウント850万2679件、会員退会により非アクティブ化されたアカウント886万8174件、テストアカウント10万6823件など、合計3954万697件である。
今回の事故により、外部SNSの個人情報が流出したり、該当サービスにアクセスする可能性はないと判断された。調査団の関係者は「SNSの簡易登録過程でティービングに移行した名前・メールアドレス、一部の生年月日・性別などが流出した」と述べ、「外部SNSの個人情報が流出したわけではない」と説明した。
ただし、ティービングが本人確認過程で別途収集した携帯電話番号や連携情報(CI)、重複加入確認情報などは流出対象に含まれていた。
調査団の関係者は「ティービングが成長する過程で加入経路間の重複の有無を初期に確認しなかったと判断される」とし、「自社加入とCJ ONE、ネイバー・カカオなど複数の経路を通じて同一人物が繰り返し加入でき、CIを基準に確認した結果、1人が最大13件のアカウントを保有していた事例もあった」と述べた。
加入・認証方式に応じてアカウントごとに流出した個人情報の範囲も異なった。調査団は今回の事故で、△ID △パスワード △CJ ONE統合ID △氏名 △携帯電話番号 △メールアドレス △生年月日 △住民登録番号の代わりに個人を識別する連携情報(CI)など、合計20項目が流出したと把握している。
特にCI保有の有無により流出した個人情報の範囲に差があった。CI保有アカウントは1904万件で、同一CIを基準に重複アカウント580万件を除外すると1324万件となる。これらのアカウントでは平均11.1項目が流出した。一方、CI未保有アカウント2040万件では平均4.6項目が流出したことが明らかになった。
調査団の関係者は「CI保有アカウントでは重複アカウント580万件を正確に確認した」としつつも、「CI未保有アカウント2040万件はCI保有アカウントと接続される可能性もあり、未保有アカウント同士で重複している可能性もあるため、正確な重複規模を確認できなかった」と述べた。全体の重複を除いた実際の被害者数は、個人情報保護委員会の追加調査を経て算定される予定である。
CI未保有アカウントは本人確認を受けていないため、一部情報が欠落しているか、正確でない事例も多数確認された。調査団の関係者は「CIは利用者が直接入力する情報やログインに使用する情報ではないため、単独で悪用される可能性は低い」としつつも、「氏名や携帯電話番号など他の個人情報と結合すれば個人を特定できるため、スミッシングやフィッシングに悪用される可能性がある」と説明した。また、「放送メディア通信委員会がCI流出に伴う保護策を検討している」と付け加えた。
調査団は攻撃者の最初の侵入経路も調査したが、明確な原因は特定できなかった。調査団の関係者は「フィッシングやマルウェア感染、サプライチェーン攻撃、接続キーの誤使用など、さまざまなシナリオを検討し、関連PCやノートパソコンをフォレンジック分析したが、これを裏付ける証拠を見つけられず、最初の開発環境接続キーの窃取経路は確認できなかった」と述べた。攻撃者と具体的な接続キーの窃取経路は警察が捜査中である。
調査団はティービングの内部セキュリティ対応能力が不足していたため、被害が拡大したと判断した。ティービングの情報保護専任人員は4名で、開発人員149名と全体の従業員265名に対して不足している状況であった。調査団の関係者は「専任人員4名でさまざまな情報保護活動を行うには限界があった」とし、「ティービングが増員計画を示せば、類似企業と比較して人員と予算の適正性を協議する」と述べた。
* この記事はAIによって翻訳されました。
亜洲日報の記事等を無断で複製、公衆送信 、翻案、配布することは禁じられています。
