Weverse、422,584件のユーザーアカウント情報流出を通知 9月6日に正式発表

Weverse Companyが9月6日に発表した声明によると、同社は9月3日にKISA（韓国インターネット振興院）からWeverse サービスのセキュリティ脆弱性に関する外部報告を受け、直ちに内部調査と緊急対応を実施した。

流出の範囲は422,584件（アカウントID単位）。流出した個人情報の項目は、ユーザー登録時に生成される内部識別情報（ユーザー識別用の一意の内部数値）のみとされている。決済関連情報として流出したのは、決済方法、決済ゲートウェイ（PG）名、通貨タイプ（例：KRW）、購入金額、キャンセル金額、購入日時、購入ステータス（例：COMPLETE）、返金日時（購入ステータスがCANCELEDの場合）である。

同社は、流出した内部識別情報は名前や連絡先などの直接的に個人を特定する情報ではなく、Weverse Company内部システムのみで使用される識別子値であり、外部では使用できないと説明している。これらのデータ項目のみでは決済詐欺や不正な資金移動が発生する可能性は低いとしている。

9月4日、同社はKISAに検査結果と対応状況を含む違反事件報告書を提出。関連法令の基準に従い、流出の影響を受けた顧客に対する通知手続きも実施している。

今後の対策として、外部に露出されたすべてのAPIの全面調査を実施し、アクセス制御を強化して露出情報を最小化する。また、配布プロセスの管理を厳格化し、セキュリティ監視の感度を高めることで、同様の事件の再発防止に努める方針。不正アクセスを行った外部者からの個人情報回収も要請し、今回の事件による損害賠償責任も追求する予定という。