個人情報保護委員会は、個人情報の安全措置義務を違反した三陽グループの4つの関連会社に対し、合計5億5200万円の過料と1620万円の罰金を科した。ハッキングにより、従業員や株主など約15万人の個人情報が流出したことが明らかになり、住民登録番号の暗号化や個人情報の廃棄など基本的な保護措置が不十分であったことが調査で判明した。
個人情報保護委員会は、11日に全体会議を開き、三陽ホールディングス、三陽社、三陽パッケージング、三陽データシステムの4社に対する制裁を決定したと12日に発表した。
調査の結果、身元不明のハッカーが2022年7月に三陽グループの内部メールサーバーの脆弱性を利用し、管理者権限を取得した。その後、データ移行のために設置された内部ファイルサーバーの認証情報を盗み取った。この結果、三陽ホールディングス、三陽社、三陽パッケージングの従業員や株主、関係者など、合計14万9767件の個人情報が含まれる約85万件のファイルが外部に流出した。その中には、住民登録番号が含まれる情報が8万2750件あった。
事故の原因としては、関連会社の不十分な安全措置が指摘された。三陽データシステムは、三陽ホールディングスなど3社のデータ移行作業が終了した後も、該当ファイルサーバーを外部ネットワークに接続したまま放置していた。このため、ハッカーがサーバーにアクセスし、個人情報を短期間で外部クラウドに流出させることができたと調査された。
個人情報を保有している三陽ホールディングス、三陽社、三陽パッケージングも、住民登録番号を暗号化しないなど、個人情報の安全性確保に必要な措置を適切に実施していなかった。三陽ホールディングスと三陽パッケージングは、法令上の保存期間が過ぎた日雇い労働者の給与情報を廃棄せず、三陽ホールディングスは採用過程で法的根拠なしに住民登録番号を収集した事実も確認された。
個人情報保護委員会は、住民登録番号の暗号化義務と個人情報処理業務の委託に関する文書化義務を違反した三陽ホールディングス、三陽社、三陽パッケージングにそれぞれ過料1億8400万円と罰金180万円を科した。個人情報の廃棄義務を違反した三陽ホールディングスと三陽パッケージングには、それぞれ罰金360万円を追加で科した。法的根拠なしに住民登録番号を収集した三陽ホールディングスにも罰金360万円が科された。
安全措置義務を違反した三陽データシステムには、是正命令などが決議された。
* この記事はAIによって翻訳されました。
亜洲日報の記事等を無断で複製、公衆送信 、翻案、配布することは禁じられています。
