HYBEのファンプラットフォーム・Weverse、42万件の個人情報が流出「深くお詫び申し上げます」

Weverse、個人情報流出を発表

同社は「Weverse Company 代表取締役ヤン・ジュイルです。このたび、Weverse Companyはサービスのセキュリティ脆弱性に関する外部からの指摘を受け、直ちに点検を実施いたしました。その結果、一部のお客様の個人情報が流出した事実を確認いたしました」と発表。「Weverseを信頼し、ご愛顧いただいているファンの皆様に、今回の件で多大なご心配とご迷惑をおかけしましたことを、心より深くお詫び申し上げます」と謝罪し、今回の事態の経緯、対応内容および今後の取り組みについて説明した。

流出の経緯については「9月3日、当社は韓国インターネット振興院（KISA）より、外部の報告者からWeverseサービスのセキュリティ脆弱性に関する指摘があった旨の連絡を受けました。連絡を受け、当社は直ちに社内点検および緊急対応を実施いたしました」と報告。「追加措置の一環として、決済情報処理APIに対するアクセス制御を強化し、内部識別情報を除去することで、外部に情報が露出しないようセキュリティを強化いたしました」とした。

そして「流出した『内部識別情報』は氏名や連絡先など個人を直接特定する情報ではなく、Weverse Companyの内部システム内でのみ使用される識別値であるため、外部で悪用することはできません。当該項目のみでは、決済の偽造や不正送金などが発生する可能性は極めて低いと考えられます」と呼びかけている。

また、 改善策および今後の計画として「今後は、外部に露出しているすべてのAPIに対する全数調査を行い、アクセス制御の強化および露出情報の最小化を進めるとともに、配信プロセスにおける統制およびセキュリティモニタリングの検出感度を強化し、同様の事態が再発しないよう万全を期してまいります」と伝え「不正な攻撃によって個人情報へ不法にアクセスした外部の行為者に対しては、該当する個人情報の回収を要請しております。今回の被害事実につきましては、告訴手続きを進める予定です」とした。

最後には「当社は今回の事態を非常に重く受け止めており、お客様のご不安や懸念が解消されるよう、責任を持ってしかるべき措置を講じてまいります。あらためて、お客様に多大なご不便とご心配をおかけいたしましたことを、重ねて深くお詫び申し上げます」と再度謝罪している。（modelpress編集部）

発表全文

平素よりWeverseをご利用いただき、誠にありがとうございます。Weverse Company 代表取締役ヤン・ジュイルです。

このたび、Weverse Companyはサービスのセキュリティ脆弱性に関する外部からの指摘を受け、直ちに点検を実施いたしました。その結果、一部のお客様の個人情報が流出した事実を確認いたしました。Weverseを信頼し、ご愛顧いただいているファンの皆様に、今回の件で多大なご心配とご迷惑をおかけしましたことを、心より深くお詫び申し上げます。

今回の事態の経緯、対応内容および今後の取り組みにつきまして、以下のとおりご案内申し上げます。

1. 流出の状況および対応内容

9月3日、当社は韓国インターネット振興院（KISA）より、外部の報告者からWeverseサービスのセキュリティ脆弱性に関する指摘があった旨の連絡を受けました。連絡を受け、当社は直ちに社内点検および緊急対応を実施いたしました。当該期間の点検において確認された個人情報の流出内容は以下のとおりです。

流出規模：アカウントID単位基準 422,584件
流出項目：
1）個人情報項目：内部識別情報（ユーザーご登録時に社内でユーザーを識別するために生成される内部番号）

2）一般情報項目（個人情報には該当しません）：購入タイプ（決済手段）、決済代行会社（PG）名、通貨単位（例：KRW）、購入金額、取消金額、購入日時、購入状態（例：COMPLETE）、返金日時（購入状態がCANCELEDの場合）

追加措置の一環として、決済情報処理APIに対するアクセス制御を強化し、内部識別情報を除去することで、外部に情報が露出しないようセキュリティを強化いたしました。また、9月4日にはKISAに対し、当該点検結果および対応状況を含む侵害事故の報告を行いました。

併せて、今回の流出対象となるお客様につきましては、関係法令で定められた基準に基づき、個別に流出の事実をご案内する手続きを進めております。

なお、流出した「内部識別情報」は氏名や連絡先など個人を直接特定する情報ではなく、Weverse Companyの内部システム内でのみ使用される識別値であるため、外部で悪用することはできません。当該項目のみでは、決済の偽造や不正送金などが発生する可能性は極めて低いと考えられます。

2. 改善策および今後の計画

今後は、外部に露出しているすべてのAPIに対する全数調査を行い、アクセス制御の強化および露出情報の最小化を進めるとともに、配信プロセスにおける統制およびセキュリティモニタリングの検出感度を強化し、同様の事態が再発しないよう万全を期してまいります。

また、不正な攻撃によって個人情報へ不法にアクセスした外部の行為者に対しては、該当する個人情報の回収を要請しております。今回の被害事実につきましては、告訴手続きを進める予定です。

当社は今回の事態を非常に重く受け止めており、お客様のご不安や懸念が解消されるよう、責任を持ってしかるべき措置を講じてまいります。あらためて、お客様に多大なご不便とご心配をおかけいたしましたことを、重ねて深くお詫び申し上げます。