2025年 第44週 セキュリティ事故レポート

児童権利保障院で記憶媒体を紛失、個人情報117万件が流出

117万被害: 養子縁組を受けた人・行方不明児童の個人情報117万件以上

児童権利保障院で、養子縁組を受けた人と行方不明児童の個人情報が入ったCDや外付けハードディスクなどの記憶媒体を紛失し、117万件以上の個人情報が流出した。行方不明児童情報の電算化事業の成果物を収めた外付けハードディスクを紛失した後、2024年に委託業者から再び受け取っており、業者が事業終了後4年以上にわたり個人情報を保有していた事実も確認された。個人情報保護委員会は、記憶媒体の管理不備などに関する調査結果を公表し、課徴金・過料の合計8億8520万ウォンを科した。

ランサムウェア集団Qilin、KT系列会社アルティメディアへのハッキングを主張

ランサムウェア集団QilinがKT系列会社のアルティメディアをハッキングしたと主張し、データ公開までの83時間のカウントダウンを提示した。アルティメディアは韓国インターネット振興院（KISA）に申告した。

ソウル南部ターミナルの発券機がランサムウェア感染で停止

被害: 発券機の作動停止

ソウル南部ターミナルの発券機がランサムウェアに感染し、作動が停止した。ティーマネーは事故を調査中だと明らかにした。その後、発券システムへの攻撃を利用客に十分知らせなかったとの指摘が出された。

政府ITサービス、車両番号で住民登録番号が露出

被害: 住民登録番号の露出

尹錫悦政権の重点事業のサービスで、車両番号を入力するだけで住民登録番号が露出する問題が判明した。政府ITサービスがパラメータ改ざんによるハッキングに脆弱だとの問題も指摘された。

マッサージ店の顧客情報を奪い5億ウォンを脅し取ったグループを検挙

被害: マッサージ店の顧客情報窃取・5億ウォンの恐喝

グループがハッキングアプリをインストールし、マッサージ店の顧客情報を抜き取った。利用の事実を配偶者に知らせると顧客を脅迫し、5億ウォンを脅し取った。犯行に加担したグループが検挙された。

ゲーム会社狙いのセキュリティ製品経由ハッキング、対応事例を公開

ゲーム会社を狙い、セキュリティソリューションを経由して侵入したハッキング事例が公開された。この事件は模範的な対応事例として紹介されたが、被害を受けたゲーム会社や被害規模、具体的な対応措置は明らかになっていない。

カカオトークのロールバック開発者、DDoS攻撃でパッチ中断

被害: カカオトークのロールバックパッチ中断

カカオトークのロールバックに成功した開発者が、DDoS攻撃によりパッチを中断したと明らかにした。攻撃の発生時期や具体的な被害規模、追加の対応内容は明らかになっていない。

光州南区議会ファン・ギョンア議員の出版記念会横断幕めぐる苦情で個人情報問題

光州南区議会のファン・ギョンア議員の出版記念会の横断幕に関する苦情をめぐり、個人情報流出の疑惑が浮上した。流出の有無の確定や被害規模、対応措置は明らかになっていない。

韓国政府行政網へのハッキング攻撃、仁川広域市も被害

政府行政網へのハッキング攻撃により、仁川広域市も被害を受けた。正確な事故発生日や被害範囲、攻撃手法、対応内容は明らかになっていない。

2005年のネットバンキングハッキングを機にOTP・セキュリティー専任組織を導入

2005年にインターネットバンキングのハッキング事態が発生した。この事態を契機にOTPとセキュリティー専任組織が導入されたが、被害機関、被害規模、正確な発生日は確認されていない。

ペンシルベニア大学、アカウント乗っ取りで卒業生・寄付関連資料が流出

120万被害: 卒業生・寄付関連資料の流出、攻撃者主張で寄付者データ120万件

2025年10月、ペンシルベニア大学で職員アカウントがソーシャルエンジニアリング攻撃により乗っ取られ、卒業生・寄付関連のシステムと資料が侵害された。攻撃者は同アカウントから侮辱的なメールを大量送信し、寄付者データ120万件を窃取したと主張した。大学は米連邦捜査局（FBI）に通報して侵害を遮断し、2026年2月に調査を完了したと明らかにした。その後、攻撃者側は追加の内部資料を公開した。

インフォスティーラーの流出データにGmailアカウントのパスワード

1.8億被害: 1億8300万アカウント規模の流出データにGmailのパスワードが含まれる

1億8300万アカウント規模のインフォスティーラー流出データにGmailのパスワードが含まれていたことが明らかになった。グーグルは、これをGmail自体の大規模侵害と解釈した主張を否定した。グーグルは露出したパスワードの変更とパスキーの使用を推奨した。

米セキュリティ専門家、BlackCatランサムウェア攻撃に加担

米国のランサムウェア対応・交渉業務の従事者らが、ALPHV/BlackCatを使って米国の機関に対するランサムウェア攻撃を行った。米司法省と検察は2025年11月、彼らの攻撃加担の容疑を提起した。その後、セキュリティ専門家2人が攻撃への加担について有罪を認めた。

電通の米子会社マークルにハッキング、従業員・顧客データ流出

被害: 従業員および顧客のデータ

電通の米国子会社マークルがサイバー攻撃を受け、データを窃取された。従業員と顧客のデータが流出し、電通はデータ侵害を発表した。事故の発生日や具体的な被害規模、対応措置は明らかになっていない。

アーンスト・アンド・ヤング、クラウド移行ミスで4TBのバックアップ露出

被害: 企業機密を含む約4TB規模のデータベース

アーンスト・アンド・ヤングのクラウド移行ミスにより、約4TB規模のデータベースがオンライン上で公開状態となった。露出したデータはマイクロソフトのAzureに保存されたSQL Serverのバックアップで、企業機密が含まれていた。