OTTティービングで利用者約1953万人の個人情報が流出した件を受け、ティービングが3日、公式に謝罪する。流出事実を公表してから3カ月ぶりだ。謝罪とともに示される補償案が、どの基準で組み立てられたのかが利用者と業界の関心事となっている。
ティービングは3日午後4時、ソウル中区のホテルで崔周熙代表取締役と主要経営陣が出席する中、情報セキュリティ強化策と顧客補償案を発表する。会社側は「ご心配とご不便をおかけし、深くおわびする」として、公式謝罪と経緯説明をあわせて行うと明らかにした。
事故は5月30日夜に起きた。身元不明のハッカーが利用者情報を含むデータベースに不正アクセスし、ファイルを持ち出した。ティービングは翌日に流出を確認し、6月1日に当局へ届け出た後、6月3日に利用者へ通知した。
規模は国会に提出された資料で明らかになった。李正憲・共に民主党議員室の資料によると、流出対象は約1953万人だ。ティービングの有料会員が500万人前後であることを踏まえると、過去に登録して離れた利用者の情報までサーバーに残っており、まとめて流出したとみられる。
持ち出された項目が事態をさらに深刻にした。IDや氏名、生年月日、性別、携帯電話番号、メールアドレスといった基本情報に加え、本人確認情報であるCIとDI、返金用口座番号、暗号化されたパスワードまで含まれていた。
CIは住民登録番号を基に作られ、オンラインで本人確認に使われる固有番号だ。パスワードは変更すれば済むが、氏名や生年月日、CIは一生変えられない。複数のサイトで同一人物を特定できる情報が一緒に流出したため、標的型フィッシングや名義盗用に悪用される危険が大きいとの指摘が出ている。
利用者の反応は訴訟につながった。流出通知から8日後の6月11日、法律事務所が利用者1051人を代理して損害賠償訴訟を提起し、参加申請者は1週間で10万人を超えた。
今回の発表で注目すべき点は補償の基準だ。個人情報流出はすぐ目に見える金銭被害がない場合が多く、会社がどこまでを被害と認めるかによって補償の範囲が大きく変わる。利用券の無料延長やポイント付与のようにサービス内で解決する方式と、現金性の補償や名義盗用防止サービスの提供のようにサービス外の被害に対応する方式のどちらに重きを置くかが最初の物差しになる。
先行事例が比較基準になる。昨年、SKテレコムは加入者のUSIM情報流出事故の後、USIMの無償交換と違約金免除、利用料割引を打ち出し、個人情報保護委員会から1348億ウォンの過料を科された。昨年末にはクーパンで3300万件余りのアカウント情報が流出し、補償をめぐる論争が続いた。ティービング利用者は「SKテレコム並みの補償が出るのか」を基準に今回の発表を見る可能性が高い。
退会会員の情報をなぜ保有していたのかも説明が必要な点だ。個人情報保護法は、目的を果たした情報を遅滞なく廃棄するよう定めている。有料会員の4倍に当たる情報がサーバーに残っていた経緯と、今後どのように保管期間を短縮するかがセキュリティ対策の核心とされる。
謝罪の時期をめぐっても視線は厳しい。崔代表は流出通知当時、「最後まで責任を果たす」とする謝罪文を出したが、経営陣が直接出席する公式謝罪と補償案には3カ月を要した。個人情報委員会と警察の調査が進行中であり、結果次第では過料や追加措置が続く可能性がある。
補償案とは別に、利用者自身が今すぐやるべきこともある。ティービングのパスワードをまだ変更していないなら変更し、同じパスワードを使っている他のサイトもあわせて変更すべきだ。流出したパスワードは暗号化されているが、他の場所で流出した情報と照合する攻撃はこれまでも続いてきた。
氏名や生年月日、携帯電話番号を知っている相手が送ったように装う短信や電話に警戒する必要がある。ティービングや金融機関を装って口座確認やリンク接続を求める連絡は、ひとまず疑うのが安全だ。返金口座番号が流出した利用者は、取引銀行に問い合わせて不審な取引通知を有効にしておく方法がある。通信事業者や金融機関が提供する名義盗用防止サービスに加入しておけば、誰かが自分の情報で契約や開通を試みた際に通知を受け取れる。
集団訴訟への参加可否は、補償案を見てから判断しても遅くない。会社が提示する補償を受け取っても訴訟の権利が消えるわけではないが、補償受領の条件に合意条項が付く場合があるため、内容を確認する必要がある。