ビッサム、社内グループウェアがハッキング被害　顧客844人の個人情報流出

韓国の暗号資産取引所ビッサム（Bithumb）で、顧客844人の個人情報が外部に流出した。流出項目には住民登録番号や身分証の写しも含まれている。ビッサムは10月29日午後、公式サイトのお知らせで、27日に社内モバイルグループウェア「ダウオフィス（DaouOffice）」に外部の第三者が不正にアクセスし、個人情報とファイルを無断で持ち出したことを確認したと明らかにした。当初は役職員の情報だけが流出したとみていたが、追加調査で顧客情報も含まれていたことが判明した。

流出の対象となった顧客は計6444人。このうち5600人の情報は暗号化された状態で内容を読み取れず、残る844人の情報がそのまま流出したと同社は説明した。役職員と協力会社の社員715人の情報も流出した。

社内業務システムに59分間の不正アクセス

ビッサムによると、外部からのアクセスは韓国時間27日午前11時28分から午後0時27分までの59分間続いた。同社は午後0時14分に異常なアクセスに気づき、アクセス経路を遮断したうえでダウオフィスの使用を停止した。具体的な侵入原因はまだ調査中で、事故対応タスクフォース（TF）を立ち上げ、グループウェアの開発会社とともにセキュリティ点検を進めている。

1. 10月27日 11:28外部の第三者、社内モバイルグループウェアへの不正アクセス開始
2. 10月27日 12:14ビッサム、異常なアクセスを把握　経路を遮断しグループウェアの使用を停止
3. 10月27日 23:39韓国インターネット振興院（KISA）に事故を届け出
4. 10月28日 00:48個人情報保護委員会に事故を届け出
5. 10月29日 17:49顧客の個人情報流出を告知、流出有無の照会ページを公開

流出項目は氏名、携帯電話番号、メールアドレス、住民登録番号、運転免許証番号、口座番号、身分証の写しなど。人によって流出した項目は異なる場合がある。役職員715人はビッサムの役職員646人と協力会社などの外部人員69人で、これらの人には個別に通知を終えたと同社は明らかにした。

取引所アカウント・コイン残高とは別のシステム

ビッサムは、侵害されたグループウェアは顧客の取引所アカウントや保有資産の情報とは切り離された社内業務システムだとしている。取引所のサービスシステムや顧客データベースが直接侵害された形跡は確認されておらず、不審な取引や出金をリアルタイムで監視しているという。

韓国の金融委員会は前日の28日、金融監督院・金融保安院・デジタル資産取引所共同協議体（DAXA）・ビッサムなどと暗号資産業界の侵害事故に関する緊急点検会議を開いた。当時ビッサムは、役職員の情報流出の形跡を報告し、利用者情報の流出の有無は確認中だとしていた。今回のお知らせで顧客情報の流出が公式に確認された形だ。金融委員会・金融監督院・金融保安院は現場調査に着手しており、被害が生じた場合は全額賠償など消費者保護措置が取られるよう管理・監督するとしている。

「今回の事故を機に、個人情報の取り扱いと保管の方法はもちろん、社内システムを含むセキュリティ管理体制全般を一から見直す」

ビッサム代表取締役 イ・ジェウォン

名義盗用・社員をかたる詐欺など二次被害の恐れ

ビッサムは、流出した情報が名義盗用、ボイスフィッシング（電話詐欺）、ビッサム社員をかたる詐欺などの金融詐欺に悪用される恐れがあると警告した。同社は電話・ショートメッセージ・メッセンジャーでパスワードや認証番号を尋ねたり、リンクを送って認証情報の入力を促したりすることはないと強調した。上場（取引サポート）を口実にしたなりすまし詐欺は、別の通報窓口で受け付けている。

補償については、今回の流出で確認されたすべての被害に責任を負い、関連法令と被害内容に応じて救済と補償の手続きを進めるとした。韓国の個人情報保護法に基づく損害賠償請求や紛争調停の申し立ても可能だ。同社は外部の専門機関によるセキュリティ点検も受けるとしている。