ソウル公共自転車「タルンイ」、462万人情報流出受け氏名や性別など削除

【08月31日 KOREA WAVE】約462万人の個人情報が流出した韓国・ソウル市の公共自転車「タルンイ」が、ハッキング被害の拡大につながる恐れのある既存会員の氏名や性別、メールアドレスなどをすべて削除した。今後、新規登録時に必須で収集する情報は、生まれた年、携帯電話番号、ID、パスワードの4項目のみとなる。

ソウル市は既存会員について、氏名、生年月日のうち月日、性別、メールアドレスを順次削除し、現在はすべて削除済みだという。

2026年7月末時点で、タルンイの登録者は計534万人。市は特定の時点で既存会員の情報を一括削除したのではなく、個人情報の収集項目を減らす過程で順次削除した。

9月には利用規約も改定する。改定後、新規登録者から必須で収集するのは、生まれた年、携帯電話番号、ID、パスワードのみとなる。氏名、生年月日の月日、性別、メールアドレスは収集しない。

個人情報の保存期間が過ぎた場合や、処理目的を達成して不要になった場合には、速やかに廃棄するとの内容も盛り込む。従来の規約では退会時に個人情報を削除するとしていたが、改定後は退会前でも保存する必要がなくなった情報を廃棄する原則を明記する。

管理方法見直しの背景には、2026年初めに明らかになった大規模な情報流出がある。

警察は別のサイバー攻撃事件を捜査する過程で流出したタルンイの会員情報を発見し、1月にソウル施設公団へ通知した。当時は450万件以上の情報が流出した可能性があることだけが判明していた。

その後の捜査で、当時中学生だった2人が2024年6月28日から2日間にわたりタルンイのサーバーに侵入し、約462万アカウントの個人情報を持ち出したことが分かった。警察は2026年2月、情報通信網法上の情報通信網侵害などの疑いで2人を書類送検した。

流出した情報には、ID、携帯電話番号、生年月日、性別、体重、メールアドレス、住所などが含まれていた。氏名と住民登録番号は流出していなかった。

手口は複雑なものではなかった。警察によると、タルンイのサーバーには、別途の認証手続きを経ずに特定の情報を呼び出すだけで個人情報を取得できる脆弱性があった。

ソウル施設公団は7月、被害者約462万人に流出した情報項目を個別にショートメッセージで通知し、5000ウォン（約550円）相当の「30日定期券」を提供するとした。

その後、被害者23人は22日、ソウル施設公団を相手取り、1人当たり30万ウォン（約3万3000円）の損害賠償を求める訴訟をソウル中央地裁に起こした。被害者側は、公団が認証手続きなしで個人情報にアクセスできる脆弱なシステムを放置していたと主張している。

ソウル市関係者は「個人情報の収集項目を最小限にしながら、既存会員の情報を順次削除してきた。既存会員の氏名など該当する情報は現在、削除された状態で管理されている」と説明した。

(c)news1/KOREA WAVE/AFPBB News