約3954万件、全アカウント情報に重要ソースコードが流出　大手動画配信サービスTVINGの杜撰管理

動画配信サービス「TVING」で、約3954万件のアカウント情報などが流出した。

ずさんな情報セキュリティー体制が原因として指摘されている。

【画像】TVING、6月にも個人情報流出

韓国の科学技術情報通信部は9月3日、政府ソウル庁舎で官民合同調査団によるTVINGの情報セキュリティー事故に関する調査結果を発表した。

調査の結果、流出したアカウントは、ログイン可能なアクティブアカウント2206万件、非アクティブアカウント（休眠・退会）1737万件、テストアカウント11万件など、合わせて3954万件に上った。重複を含めると、事実上、TVINGの全アカウントが流出したことになる。

流出した情報は、ID、氏名、生年月日、携帯電話番号、メールアドレス、連携情報など20項目。パスワードはハッシュ化されていたものの、携帯電話番号とメールアドレスは暗号化キーも一緒に流出したため、実質的に平文の状態で漏えいしたとみられている。

個人情報に加え、コンテンツの推薦・検索アルゴリズムや決済、会員管理システムなどが含まれるソースコードの開発プロジェクト361件（30.35GB）も流出したとされている。

攻撃者は、事前に盗み出した開発者の「開発環境へのアクセスキー」を使って内部システムに不正アクセス。さらに、ソースコード内に平文で放置されていた「本番環境へのアクセスキー」43個を入手し、Amazon Web Services（AWS）の本番環境にまで侵入したとみられている。

攻撃者は仮想サーバーを作成し、約24GB分の利用者情報を海外サーバーに持ち出した後、痕跡を消去したという。

調査団は、TVINGが過去の模擬ハッキングで指摘された問題を改善していなかったほか、データベースへのアクセス情報を平文で保存するなど、全社的な情報管理体制が総じて不十分だったと指摘。また、TVINGが情報セキュリティー事故を認知してから24時間を超えて韓国インターネット振興院（KISA）に届け出たため、過料が科される予定だとしている。

韓国科学技術情報通信部は、今月中に再発防止策の実施計画を提出させ、来年1月からは履行状況の点検を行う方針だ。警察は、流出した情報が海外に送信された経路などを手がかりに、攻撃者の身元特定に向けた捜査を進めている。

■【全文】TWICEチェヨン、電話番号流出と拡散に耐え切れず

■【画像】TVING、6月にも個人情報流出

■【写真】アイドルも寄付、募金団体で個人情報流出