個人情報保護委員会は、個人情報の安全措置義務を違反した教育企業の大教と英勲医療財団に対し、合計38億8500万円の過料を科した。ウェブの脆弱性を利用した攻撃により個人情報が流出したことが確認され、アクセス制御や侵害の兆候検知、パスワードの暗号化など基本的な保護措置が不十分であったことが調査で明らかになった。
個人情報委は、前日全体会議を開き、個人情報保護法規を違反した大教に32億5500万円、医療法人英勲医療財団に6億3000万円の過料を科すことを決定したと29日に発表した。
大教は、目の高さ・チャイホンなどのオンライン・オフライン教育サービスを運営する事業者であり、英勲医療財団は医療サービスを提供する法人である。
個人情報委の調査によると、大教は関連会社のウェブサーバーから代表会員データベース（DB）に直接接続できる不必要なアクセスを許可していた。身元不明の攻撃者は、関連会社のホームページのウェブ脆弱性を利用してウェブシェルをアップロードし、2024年8月と2025年2月の2回にわたりマルウェアを実行した。
大教は最初の流出事故の際、セキュリティ監視会社から異常行動に関するセキュリティ検知情報を受け取ったが、詳細な分析や遮断などの後続措置を怠ったことが調査で確認された。個人情報委は、個人情報保護責任者（CPO）が流出事故の原因となったアクセス制御などの個人情報保護措置に関する管理計画と実態点検を適切に実施していなかった事実も確認した。
英勲医療財団では、2024年3月に病院のホームページのSQLインジェクション脆弱性を利用した攻撃により会員の個人情報が流出した。流出した情報はIDやパスワード、名前などで、被害規模は約18万8481人に達した。
個人情報委によれば、英勲医療財団はホームページ運営過程で、慣行的に会員登録機能を通じて個人情報を収集・処理していた。また、会員登録時に入力されたパスワードを暗号化する際に、安全でないアルゴリズムを使用していたことも確認された。
個人情報委は、不必要な個人情報が収集されないようにし、運営中の個人情報処理システムの現状を把握し、ウェブシェルのアップロードやSQLインジェクションなどのウェブ脆弱性攻撃に備えた点検および対応体制を強化するよう求めた。
* この記事はAIによって翻訳されました。
亜洲日報の記事等を無断で複製、公衆送信 、翻案、配布することは禁じられています。
