台湾政府は、クーパンの大規模な個人情報漏洩事件に関する行政調査で違法・不備の状況を確認し、法的処分を予告した。

台湾デジタル発展部は26日の公告で、前日に法律・情報セキュリティ専門家、刑事警察局、国家サイバーセキュリティ研究所で構成された行政調査チームがクーパン台湾法人を対象に現場検査を実施し、調査の結果「クーパン台湾法人の個人情報管理に欠陥があることが判明した」と述べた。

続けて「『個人情報保護法』や『デジタル経済関連産業の個人情報ファイル安全保護管理方法』などの関連規定に基づき、引き続きフォレンジック報告および各状況を調査し、調査結果については法的手続きに従って後続処分を行う」と説明した。

◆20万人以上の情報にアクセス···IPを2000以上動員

行政調査チームによると、流出させたのはかつてクーパン韓国支社の社員で、2000以上の異なるIPアドレスを利用して20万4552人のクーパン台湾ユーザーの個人情報にアクセスした。流出対象には氏名、メールアドレス、電話番号、配送先住所、一部の注文履歴などが含まれていた。

台湾当局は、これまでクーパン台湾法人は韓国と台湾のユーザーデータベースが分離されていると説明してきたが、調査の結果、異なるデータベースのバックアップ用パスワードキーが同一で、クーパン韓国の元社員は退職後も既存のバックアップキーでデータベースにアクセスできていたことが明らかになった。

◆「影響はない」と言っていたクーパン…韓国発表後、遅れて通知

デジタル発展部は、昨年11月に個人情報漏洩事件が発生した直後、クーパン台湾法人に説明を求め、台湾利用者情報への影響の有無を確認したと説明した。当時、クーパンは公開声明で、台湾の消費者の個人情報漏洩の証拠は発見されていないと述べた。

さらに、昨年12月24日にも法律・情報セキュリティの専門家が国家サイバーセキュリティ研究所と共同で現場検査を実施したが、クーパンはセキュリティ会社が調査中で、台湾ユーザーへの被害の兆候はないという従来の見解を維持した。このような説明は、今年1月12日と26日、そして今月9日にも繰り返されたと当局は伝えた。

しかし、韓国政府が2月10日に発表した調査結果には、攻撃者が昨年11月にクーパン韓国法人に送ったメールで、韓国・日本・台湾のユーザーがいずれも流出被害を受けると言及した内容が含まれていることが判明した。その後、クーパン台湾法人が2月23日に台湾側に個人情報漏洩の事実が確認されたことを通知したとデジタル産業部は指摘した。

◆クーパンInc「台湾アカウント20万件」…行政処分手続き

クーパンの親会社クーパンInc．は25日、従業員が不正にアクセスしたアカウントのうち約20万件が台湾所在のアカウントだということが確認されたと発表した。韓国の顧客だけでなく、台湾の顧客情報まで漏洩していた事実が遅れて明らかになった。

これを受け、台湾デジタル発展部は追加の行政調査と併せて、関連法令に基づく制裁手続きを開始する方針だ。

また、デジタル発展部はクーパン台湾に対し、個人情報保護法およびデジタル経済関連業種の個人情報の保管・管理規則に基づき、必要な措置を講じる方針を示した。