「TVING」3954万全アカウント流出の未曽有の事態…接続キー放置と報告遅れで過料3000万ウォン

国内有数のオンライン動画サービス（OTT）プラットフォーム「TVING」で、3954万件に上る全利用者のアカウントと中核技術資産が一挙に流出する未曽有の情報セキュリティー侵害事故が発生した。暗号化すら施していない「接続キー」の放置が招いた人為的な事故で、事後対応も遅れたため、最大3000万ウォンの過料処分を免れられない見通しとなった。科学技術情報通信部は3日、政府ソウル庁舎で官民合同調査団とともに、調査結果を正式に発表した。

休眠・退会からテスト用まで全アカウント露出、平文流出に等しい惨事

調査団によると、今回の事態で、ログイン可能なアクティブアカウント2206万件、休眠状態や退会済みの非アクティブアカウント1737万件、テスト用アカウント11万件など、計3954万件のアカウント情報が流出した。科学技術情報通信部の情報保護ネットワーク政策官、イム・ジョンギュ氏は記者会見で「事実上、TVINGが保有するすべてのアカウントが流出した」と述べ、事態の深刻さを認めた。

流出した項目は、IDとパスワードをはじめ、氏名、生年月日、携帯電話番号、メールアドレス、連携情報（CI）など20項目（70種類）に及ぶ。パスワードには一方向暗号化が適用されており復号はできないが、携帯電話番号とメールアドレスは「暗号化キー」が丸ごと流出し、「平文での露出」と変わらない深刻な打撃を受けた。さらに、利用者に合わせたコンテンツ推薦アルゴリズムや決済管理システムを含む開発プロジェクト361件（30.35GB規模）の中核技術資産も、そのまま窃取された。

ソースコード内に無防備な「ハードコーディング」、予見されたセキュリティー崩壊

攻撃者は5月29日から31日にかけ、事前に盗み出していた開発者の「開発環境接続キー」を悪用し、プロジェクトを持ち出したことが確認された。さらに深刻なのは、ソースコード内部に無防備な状態で保存されていた「運用環境接続キー」43個も見つかり、アマゾン・ウェブ・サービス（AWS）を基盤とする運用環境まで侵入された点だ。

調査の結果、TVINGの「セキュリティー管理体制」は全般的に機能不全に陥っていた。運用環境の接続キーを別途分離せず、ソースコードにそのまま露出させる、いわゆる「ハードコーディング」方式で放置していたほか、データベース（DB）の接続情報も平文のまま保存されていた。特に、2024年に自社で実施したペネトレーションテストでこの脆弱性を発見していたにもかかわらず、改善措置を一切講じなかったことが被害を拡大させた。

法定期限を超えた遅い対応、当局の制裁と警察捜査が本格化

現在も最初の攻撃者の身元は分かっておらず、盗まれた情報が海外のアカウントに渡った状況だけが把握され、警察が集中的な捜査を進めている。

事故発生後のTVINGの対応も問題視されている。情報通信網法では、情報セキュリティー侵害事故を認知してから24時間以内に関係当局へ届け出なければならないが、TVINGは期限を超えて「遅い報告」に終始した。このため科学技術情報通信部は、関連法令に基づき最大3000万ウォンの「過料」を科す方針だ。

政府はTVING側に対し、キーの徹底した管理とアクセス権限の統制体制の構築、情報保護専任人員の大幅な拡充を柱とする再発防止策を求めた。来年1月から厳格な履行状況の点検に着手する予定だ。

#TVING #TVING #情報流出 #DataBreach #イム・ジョンギュ #LimJungGyu #科学技術情報通信部 #MSIT #ハードコーディング #Hardcoding #サイバーセキュリティー