BTS所属のHYBEがハッキング被害を謝罪、パスポート番号や医療情報も流出　対象は従業員と協力会社、Weverseの流出との違い

時間がない人向けの30秒で理解ゾーン

BTSなどが所属する韓国の芸能事務所HYBE（ハイブ）が、社内システムへのハッキングで個人情報が流出したと公式ホームページで謝罪していたことが、11月2日に韓国で報じられた。韓国の複数の報道によると、案内の掲載は10月18日だった。対象は協力会社の関係者と現職・元職の従業員の一部で、流出は9月と10月の2回。パスポート番号や医療情報、口座番号も含まれる。確認できた報道が挙げる対象にファンやアーティストはなく、9月に明らかになったWeverseの流出とは、発表した会社も対象も異なる。

誰の、どの情報が、いつ流出したのか

流出の対象は、HYBEの協力会社の関係者と、現職・元職の従業員の一部だ。人数は公表されていない。

流出した時期は次の2回で、どちらも日をまたいでいる。

1回目：9月12日13時16分〜9月13日11時14分
2回目：10月3日22時41分〜10月5日15時5分

項目は、氏名、住民登録番号、外国人登録番号、パスポート番号、銀行口座番号、カード番号、携帯電話番号、電話番号、メールアドレス、住所、医療情報、生年月日。一部の人については、IPアドレス、社員番号、所属部署名も含まれる。

どの項目が漏れたのかは人ごとに違い、業務の内容や決済の履歴で変わるという。HYBEは案内の中で、対象者に個別に知らせていると説明した。

ファンやBTSメンバーの情報は含まれるのか

確認できた報道が挙げる対象は、協力会社の関係者と現職・元職の従業員で、ファンやアーティストは挙げられていない。韓国の報道の中には、これまでにファンや所属アーティストの情報が流出した事実は確認されていないと書くものもある。

ただし、これは報道の書き方で、HYBEが「ファンやアーティストの情報は含まれない」と明言したと伝える報道は、確認できなかった。

社内の点検で発覚、外部業者の文書プレビュー機能に不審なアクセス

きっかけは、社内のセキュリティ点検だった。社内の書類の承認を回す電子決裁システムと連動した、外部業者の文書プレビュー機能で、不審な外部からのアクセスが見つかる。

追加で調べると、経費処理システムでも同じようなアクセスが確認された。2つのシステムに保管されていた一部の内部文書と、そこに含まれていた個人情報が外部に流出したと、HYBEは説明している。

誰が攻撃したのかは、確認できた報道には出ていない。

HYBEの謝罪と対象者への案内

HYBEは「個人情報の流出により、ご心配をおかけしたことを深くお詫び申し上げる」と謝罪した。社内システムのアクセス制御と監視を強め、原因の究明と再発防止に努めるとしている。

案内に挙げられた対応は次の通りだ。

攻撃に使われたIPアドレスとアクセス経路を遮断
問題の文書プレビューサービスを停止
韓国インターネット振興院（KISA）と個人情報保護委員会へ届け出
対象者への個別の通知

協力会社の関係者や元従業員の中には、連絡先が分からず通知が届かない人もいるという。こうした人は、HYBEの保安政策チームで本人確認を受ければ、流出の有無などの案内を受けられると説明している。

案内の時点で、悪用が疑われる事例の報告はないという。それでもHYBEは、会社や従業員を装ってアカウント情報、金銭、機微な資料を求める連絡に応じないよう呼びかけた。送信元が分からないメールの添付ファイルやURLも開かないよう求めている。

韓国の報道によると、損害を受けた人は個人情報保護法に基づく損害賠償や法定損害賠償を請求でき、個人情報紛争調停委員会に調停も申し立てられる。

9月のWeverseの流出とは何が違うのか

HYBEをめぐっては、9月にも流出の発表があった。ファン向けサービス「Weverse（ウィバース）」を運営する子会社、Weverse Companyの件だ。名前が並ぶので混同しやすいが、発表の内容は大きく違う。

比べる点	今回のHYBE	9月のWeverse
発表した会社	HYBE	子会社
案内の掲載	10月18日	9月6日
対象	協力会社の関係者と従業員の一部	サービスのアカウント
規模	公表なし	42万2584件
主な情報	パスポート番号や医療情報など	内部識別情報と購入の記録
氏名と連絡先	項目に含まれる	項目に含まれない
発覚のきっかけ	社内のセキュリティ点検	外部からの通報

Weverseの件は、外部の通報者が見つけたぜい弱性（システムの弱点）を、9月3日にKISAが同社へ伝えたことで発覚した。流出したのはアカウントID単位で42万2584件。登録時に割り振られる社内用の番号のほか、決済手段、決済代行会社の名前、通貨、購入やキャンセルの金額、購入と返金の日時などだった。

同社が挙げた項目に、氏名、連絡先、カード番号は入っていない。社内用の番号は外部では使えず、これらの項目だけでは決済の偽造や不正な送金は起こりにくいと説明し、「Weverseを応援してくださるファンの皆さん」に向けて謝罪した。WEVERSE JAPAN株式会社も同じ6日に、利用者への案内を出している。

さらにさかのぼると、1月にはWeverse Companyの従業員が、業務で知ったファンの情報を非公開のカカオトークのグループに無断で共有していた問題も発覚した。同社は1月5日に謝罪し、この従業員を業務から外して刑事告訴している。

韓国の報道の中には、今回の流出は9月のWeverseの件とは別の事故だと書くものがある。同じ攻撃者や同じ原因だと伝える報道は、確認できなかった。