HYBEのWeverseなど個人情報流出相次ぐ韓国企業、2000億円規模の補償案でも顧客が納得しない理由

氏名や電話番号、メールアドレスから住所、購入情報まで。

サービスを利用するために企業に預けた個人情報が、相次いで外部に流出している。

問題は事故後だ。企業は謝罪し、数百億円規模の補償案を打ち出すものの、実際に利用者が受け取る補償は異なる。現金ではなく自社ポイントや割引券を支給し、退会した顧客には再び会員登録しなければ補償を受けられないようにするケースが相次いでいるためだ。

最近、個人情報流出事故が発生したTVINGから、昨年大規模な事故を起こしたCoupangまで、「補償なのか、マーケティングなのか」という疑問がつきまとっている。

さらに直近では、HYBEのファン向けプラットフォームWeverseでも42万件超の個人情報が流出したことが明らかになり、プラットフォーム業界の個人情報管理と事故後の責任の取り方が再び問われることになった。

TVING、退会者も再登録が必要

最近の事例で最も規模が大きいのは動画配信サービスのTVINGだ。科学技術情報通信部の官民合同調査団は3日、TVINGから重複分を含めて計3954万件のアカウント情報が流出したと発表した。

ログイン可能なアクティブアカウント2206万件だけでなく、休眠アカウント850万件、すでにサービスを退会したアカウント887万件も含まれていた。流出した情報はアカウントによって異なるが、氏名、携帯電話番号、メールアドレス、生年月日、連携情報（CI）など、最大20項目に及んだという。

事故が拡大したことを受け、TVINGはセキュリティへの投資を拡大し、顧客への補償にも乗り出した。7日から被害を受けた利用者を対象に、補償の申請受付を開始した。

補償パッケージには、ハッキングやフィッシングなどによる金銭的被害を1年間、最大300万ウォン（約35万円）まで補償する保険、5000ウォン（約600円）相当のTVINGポイント、3カ月間のプレミアム級の視聴環境などが含まれている。さらに、動画配信サービスWavveの広告付き料金プラン1カ月分の利用券、または大型シネコンCGVの5000ウォン割引券のいずれかを選択できる特典も提供する。TVINGが試算した1人当たりの補償の実質的な価値は約2万ウォン（約2300円）だ。

しかし、補償方法に疑問の声が上がった。TVINGポイントは、TVING内で個別コンテンツを購入する際に使用しなければならない。CGVの割引券を選択した場合も、実際に商品を購入するには追加料金を支払う必要がある。さらに、すでにTVINGを退会した被害者が補償を申請するには、再び会員登録しなければならない。補償は自動的に支給されず、30日までに別途申請する必要がある。

サービスを離れた利用者の情報まで保管して流出させた企業が、被害者に対して再びそのサービスを利用しなければ補償しないという構図になっている。本人確認のための手続きだという会社側の説明とは別に、消費者の立場からすれば、補償を受けるために再びプラットフォームと関係を持たなければならないという逆説が生じる。

Coupangも「補償かマーケティングか」

同様のケースは、すでにCoupangでも繰り返されている。個人情報保護委員会の調査では、Coupangの会員約3322万人と、非会員少なくとも433万人の個人情報が流出したと判断された。個人情報の流出や他社のオンライン活動履歴の無断収集など、一連の違反行為に対して科された課徴金は、計6246億8100万ウォン（約720億円）に達した。

その後、Coupangは大規模な個人情報流出事故を受け、3370万人を対象に総額1兆6850億ウォン（約2000億円）規模の補償案を発表。数字だけを見ると、1人当たり5万ウォン（約5800円）だったが、その内訳はCoupangで利用できる利用券5000ウォン、Coupangイーツ5000ウォン、Coupangトラベル2万ウォンなどとなっていた。

個人情報が流出したCoupangで実質的に利用できる金額は5000ウォンにとどまり、退会した顧客が利用券を使うには、再び会員登録しなければならなかった。そのため、世間からは被害回復よりも顧客の再獲得を狙った営業手段だと批判する声が上がり、クーポンの受け取りを拒否する運動まで起きた。

Weverseにも広がる個人情報流出

そして7日にはBTSなど人気アイドルグループを多数擁するHYBE傘下のWeverseで、42万2584件の個人情報が流出したことが発覚。3日に韓国インターネット振興院（KISA）を通じてサービスのセキュリティ上の脆弱性に関する外部からの通報を受け、調査に着手したとしている。

今回、個人情報として流出した項目は、利用者を区別するためにWeverseが独自に生成した内部識別情報だった。これとともに、決済手段の種類、決済代行会社、通貨の種類、購入金額、キャンセル金額、購入・返金の時点なども外部に流出したと説明している。

Weverseは、これらの購入関連項目は個人情報には該当せず、内部識別情報も氏名や連絡先のように、外部から個人を直接特定できる情報ではないため、決済の偽造や不正送金が行われる可能性は低いとしている。今後は外部に公開されているAPIを全数調査し、アクセス制御やセキュリティモニタリングを強化する再発防止策も打ち出した。ただし、6日に公開した謝罪文には、被害を受けた利用者を対象とする具体的な金銭的・サービス上の補償案は含まれていなかった。

これらの事態を受け、企業の事故後の対応を変えるべきだという声が高まっている。現在の個人情報保護法では、情報主体は個人情報取扱者の故意または過失によって情報が流出するなどの被害を受けた場合、300万ウォン以下の範囲で法定損害賠償を請求できる。しかし、個々の被害者が訴訟や紛争調停を通じて権利を行使することと、企業が事故直後に自主的に打ち出す補償は別の問題だ。

特に、自社ポイントや割引券を中心とした補償は、企業にとっては現金支出を抑えながら顧客をつなぎ留める方法になる一方、被害者にとっては、そのサービスを再び利用して初めて価値が生じる。個人情報保護への信頼を失ってサービスを離れた人にとっては、補償ではなく、別の選択を迫られることになる。

規制も強化される。11日から施行される改正個人情報保護法では、繰り返し、または重大な個人情報侵害が発生した場合、全体の売上高の最大10％まで、懲罰的課徴金を科すことができるようになる。相次ぐ大規模な事故が企業に発する警告が、もはや謝罪文一枚で終わるものではなくなっていることを意味する。

今回の一連の個人情報流出問題では共通する問いが残る。企業が利用者の個人情報を事業の中核となる資産として活用するのであれば、事故が起きた際の責任も、それに見合ったものであるべきではないかということだ。個人情報を保管するのは企業だが、最終的な所有者は利用者だ。プラットフォームがこの当然の原則をどれだけ重く受け止めるかが、次の情報流出事故を防ぐ最初のセキュリティ対策になる可能性がある。

■【画像】“あえぎ声”を挿入…HYBE女性グループに批判殺到

■犯人は“中国版Google”幹部の娘…IVEウォニョンを誹謗中傷した人物など約100人の個人情報流出

■TWICE事務所、謝罪…所属バンドの公演入場時にスタッフが個人情報を過度に要求