中小・中堅企業とスタートアップで個人情報流出事故が相次いでいる。最近、有名語学塾「JLS」と乳幼児教育マッチングプラットフォーム「ジャランダ」、配達代行プラットフォーム「フライ」などで顧客の個人情報流出事故が発生した。
とりわけこれらの企業は、顧客の連絡先だけでなく、子どもの情報、住所、口座情報、共同玄関の暗証番号などの機微情報を扱っており、二次被害への懸念も高まっている。
24日、中小企業およびセキュリティ業界によると、正常語学院を運営する JLS(040420) は21日、会員情報に対する外部の異常な大量アクセスを17日に検知して遮断し、その後の調査過程で個人情報流出の事実を18日に確認した。流出した情報は、名前、生年月日、性別、電話番号、メール、住所、学校、学年、ID、暗号化されたパスワードなどである。
会社側は住民登録番号などの固有識別情報は収集していないと明らかにした。正確な流出規模とアクセス経路は調査中で、関係機関への申告と捜査機関への捜査依頼を進めた。
乳幼児教育マッチングプラットフォームのジャランダでも個人情報窃取の兆候が確認された。ジャランダは21日、訪問日誌DBに外部者がアクセスし一部情報を窃取した兆候を確認したと明らかにした。流出した情報は、加入者の携帯電話番号と授業を受ける子どもの名前、訪問日時、科目、写真などである。
ジャランダは外部アクセスを遮断し、同一類型の残余アクセス経路を点検・整理し、海外への異常送信に対する監視体制も構築したと説明した。
配達代行プラットフォームのフライでは、管理者・ライダー・店舗・注文顧客の個人情報が流出した。管理者とライダーは、名前、連絡先、住所、口座情報、住民登録番号などが流出したと把握されている。店舗の場合は、名前、生年月日、商号、連絡先、事業者登録番号、住所などが、注文顧客は住所と連絡先および一部の共同玄関の暗証番号が流出した。
フライは18日に事故を把握した後、異常なアクセス経路を遮断し、セキュリティ点検と原因分析に着手した。韓国インターネット振興院（KISA）、個人情報保護委員会、警察庁サイバー捜査隊など関係機関にも申告した。正確な事故原因と流出範囲などは調査中である。
専門家は、中小企業とスタートアップの場合、大企業に比べ個人情報保護に投入できる人員と資源が不足している分、セキュリティ管理に死角が生じる可能性があると指摘する。別途の個人情報保護担当者を置くよりもIT・セキュリティ担当者が関連業務を兼務する企業も多く、個人情報のアクセス権限管理や異常兆候のモニタリングなどが相対的に脆弱になり得るということだ。
とりわけ教育・配達プラットフォームは攻撃者にとって魅力的な標的になり得る。教育企業は保護者と子どもの個人情報、授業日程や写真などを保有しており、配達プラットフォームは住所と連絡先、口座情報だけでなく共同玄関の暗証番号まで取り扱う。流出した情報がフィッシングやなりすましなどの二次犯罪に悪用される可能性も排除しにくい。
キム・ヨンデ・カイスト電気および電子工学部教授は「大企業は自らセキュリティ人員とシステムに投資する余力があるが、中小企業は専門人員と資源が不足しておりセキュリティ管理に限界がある」と述べ、「中小企業が最低限のセキュリティ体制を整えられるよう、政府が基本的なセキュリティソリューションとリモート監視サービスなどを支援する政策が必要だ」と語った。