[비즈한국] ソウルの公共自転車「タルンイ」に侵入し、加入者の個人情報を大量に流出させたハッカーが10代の青少年であることが確認された。被疑者のうちの1人は「実力を誇示したかった」という趣旨の供述をしたと伝えられているが、この事件は単なる「少年ハッカー」の逸脱として片付けるには難しい点を残している。高度な侵入技術が駆使されたというよりは、加入者の認証なしでも情報照会が可能なサーバー構造の脆弱性を利用したためだ。
捜査は現在、運営主体であるソウル施設公団の管理責任範囲にまで拡大し、立件前調査（内偵）が行われている。個人の過失と断定するよりも、公共プラットフォーム全体のセキュリティ設計と点検体制を振り返るべきだという指摘が出ている。
ソウル警察庁によると、彼らは中学生だった2024年6月28日から2日間にわたり、タルンイのサーバーに侵入して加入者アカウント約462万件の情報をダウンロードした疑いが持たれている。流出した項目はID、携帯電話番号、メールアドレス、住所、生年月日、性別、体重などで、氏名や住民登録番号は含まれていなかった。
当時、タルンイのアプリサーバーを狙ったDDoS攻撃が発生しており、アプリが約80分間ダウンした際、ソウル市は行政安全部に障害の報告を行っていた。現在まで個人情報が外部に再流出した、あるいは金銭的利益に繋がったという状況は確認されていない。
2人はオンラインコミュニティとSNSを通じて知り合った関係で、実際に会ったことはないことが調査で判明した。捜査過程で確保されたテレグラムの対話には、犯行を共謀した状況が記録されていたという。サーバーの脆弱な点を認識した後、1人の被疑者が「全体をダウンロードしてみよう」と提案し、役割を分担して情報を収集したと見られる。彼らは普段から情報セキュリティ分野に関心を持ち、関連技術を独学で学んだと供述した。
今回の事件は内部点検ではなく、他のシェアリングモビリティ業者を対象としたサイバー攻撃を捜査する過程で発覚した。被疑者の電子機器をフォレンジック分析する中で大量の会員情報ファイルが確認され、捜査が拡大した。2024年10月に1人の被疑者が先に検挙され、テレグラムアカウントの追跡などを通じて共犯が特定され、今年1月に更なる検挙に至った。
警察は主導的な役割を果たしたと判断した被疑者に対して2度拘束令状を申請したが、少年犯であることなどを考慮し、検察が請求しなかった。
捜査過程で確認された侵入手法は、高度な技術を駆使したというよりは、加入者認証や権限確認なしでも情報照会が可能なサーバー設定の脆弱性を突いたものに近い。
侵入経路は比較的単純な構造的脆弱性を利用したと調査された。2日間で数百万件もの情報を盗み出したことを考えると、大量照会を統制する装置や、異常兆候を早期に感知するモニタリング体制が十分だったのかという点も検討すべき課題として挙げられる。
運営主体であるソウル施設公団に対する調査も並行して行われている。公団は2024年の時点でハッキングの事実を認識していたにもかかわらず、特段の措置を講じなかったと指摘されている。ソウル市によると、事件発生後の同年7月、クラウドサーバー管理委託業者が個人情報流出の状況を記した報告書をソウル施設公団に伝えていたが、公団は個人情報保護委員会への届出や市民への公表など、法に基づく後続措置を行わずに黙認していたことが明らかになった。警察は個人情報保護法違反の有無などを中心に、関係者に対する立件前調査を進めている。
タルンイアプリの個人情報管理の直接的な主体はソウル施設公団であり、ソウル市は管理・監督機関である。個々の職員の過失と断定するよりも、公共プラットフォームのアクセス制御、権限管理、侵害対応体系が制度的に適切であったかを検証する手続きであるという点で、制度改善の議論につながる可能性もある。
個人情報保護委員会も先月30日、警察から流出の届出を受理し、関連調査に着手した。調査を通じて正確な事故の経緯、個人情報の流出有無および関連法違反の有無、具体的な技術的欠陥の範囲などが明らかにされる見通しだ。
今回の事件は約1年8ヶ月前に発生したものだが、他のサイバー攻撃事件を捜査していた警察が被疑者の押収物を分析する過程で会員情報ファイルを確認し、外部に知られることとなった。先月27日にソウル警察庁から会員情報流出の疑いがあると通報を受けたソウル市は内部調査を実施し、初期対応が不十分であった事実を確認した。
ハン・ジョンフン・ソウル市交通運営官は6日にブリーフィングを開き、「調査過程で公団が2024年7月に個人情報流出の事実を確認しながらも、適切な措置を講じていなかったことが分かった」とし、「捜査結果に基づき公団関係者の責任の所在を明確にし、必要な場合は職務排除などの後続措置も検討する」と述べた。
タルンイは2015年にソウル市が導入した公共自転車サービスで、ソウル全域に貸出所が設置され、市民の短距離移動手段として利用されてきた。サービス開始以来、累計利用件数は2億5000万件を超え、2024年の年間利用件数は4385万件と集計された。10年前と比較すると、利用規模は約400倍に増加している。