LG Uplusは廃止済みソフトウェアでログインシステムを運用していた——ハッカーが顧客ファイル297,117件を取得

2023年7月12日、韓国の個人情報保護委員会（PIPC）は、同年1月に公表された情報漏えいをめぐり、LG Uplusに68億ウォン（530万ドル）の課徴金と2,700万ウォンの過料を科した。ハッカーは顧客297,117人分の個人データ——26項目のうち氏名、電話番号、住所、生年月日、USIM識別子など——を取得していた。これは韓国の企業に対するデータ漏えいの課徴金として当時最大であった。

委員会は、侵入を顧客認証システムにまで遡った。そのシステムは、侵害が起きたと推定される2018年6月の時点ですでにサポート終了となっていたソフトウェアで稼働しており、基本的な侵入防止装置は欠けているか設定が誤っており、2009年と2018年にアップロードされたウェブシェルがサーバー上で発見されないまま放置されていた。個人データを含む1,000万件を超える本番レコードが、開発・テスト環境に無管理のまま残されていた。

LG Uplusはまた、漏えいを把握してから24時間以内に影響を受けた顧客へ個別に通知しなかったことも非難された。委員会は同社に対し、プライバシー責任者の役割を強化し、内部管理計画を再構築し、システムを包括的に点検すること、そして公に約束した情報保護への投資を実行に移すことを命じた。

ハッカーは顧客ファイル297,117件を取得した。PIPCは情報漏えいと、24時間以内の個別通知の期限を守らなかったことに対し、韓国最大となる68億ウォンの課徴金を科した。

認証システムは通信事業者が運用する中で最も価値の高い標的でありながら、最も手入れが行き届いていなかった——攻撃者はまさに保守が止まった箇所を探る。

古いウェブシェルが残り続けるのは、誰も探さないからだ。2009年に仕掛けられた足場は2023年になってもなお利用可能だった。

通知義務は漏えい対応の一部である。漏えいを把握しながら各被害者に伝える24時間の期限を逃すことは、別個に制裁対象となる不作為である。

セキュリティは組織図ではなく保守予算に従う——ユーザーを認証し、サポート対象外のソフトウェアで稼働するサーバーは、いつ責任を問われてもおかしくない漏えいの温床である。