韓国の三養（サムヤン）グループの系列会社で約15万人の個人情報が流出し、その後の調査で住民登録番号の暗号化やサーバーへのアクセス制御など、基本的な保護措置を適切に講じていなかったことが明らかになり、制裁を受けた。

個人情報保護委員会は12日、前日の全体会議で個人情報保護関連法規に違反した三養グループ傘下の4社に対し、計5億5200万ウォン（約6630万円）の課徴金と1620万ウォンの過料、是正命令などを議決したと明らかにした。

制裁対象は三養ホールディングス、三養社、三養パッケージング、三養データシステムの4社だ。

個人情報保護委員会の調査によると、身元不明のハッカーは2022年7月、三養グループのメールサーバーの脆弱性を悪用して管理者権限を取得した後、データ移管のために設置された内部ファイルサーバーの認証情報を盗み取った。

その後、このサーバーから三養ホールディングス、三養社、三養パッケージングの役職員や株主、関係者ら14万9767人の個人情報が含まれた約85万件、計1．3テラバイト（TB）のファイルを外部に持ち出したことが分かった。

流出した情報には8万2750人分の住民登録番号も含まれていた。

三養グループのシステム管理業務を担当する三養データシステムは、データ移管作業が終了した後も、当該ファイルサーバーを外部ネットワークに接続したまま放置していたことが調査で分かった。

このため、ハッカーがサーバーに保存されていた個人情報を外部のクラウドに大量流出させることができたというのが、個人情報保護委員会の判断だ。

三養ホールディングス、三養社、三養パッケージングは、住民登録番号を暗号化するなど、個人情報保護のための安全措置も適切に講じていなかったことが明らかになった。

三養ホールディングスと三養パッケージングは、法定保存期間を過ぎた日雇い労働者の給与情報を破棄しておらず、三養ホールディングスは法的根拠なく採用過程で住民登録番号を収集していたことも確認された。

個人情報処理業務の委託過程でも、契約管理が不十分だったことが分かった。

三養グループの3社は、事故が発生した2022年7月当時、三養データシステムに個人情報処理業務を委託していたが、関連する委託契約書を作成したのは事故発生から2年余りが過ぎた2024年12月だった。

個人情報保護委員会は、三養ホールディングス、三養社、三養パッケージングにそれぞれ1億8400万ウォンの課徴金を科した。

過料は三養ホールディングスが900万ウォン、三養社が180万ウォン、三養パッケージングが540万ウォンと決定された。

アクセス制御などの安全措置義務に違反した三養データシステムには、是正命令と公表措置が下された。

個人情報保護委員会は、今回の事故について、使用を終えたサーバーを廃棄したり外部からのアクセスを遮断したりするなどの基本的な安全措置を怠ったことが原因だと指摘した。

また、住民登録番号の暗号化が不十分だったことや、不要な個人情報を長期間保管していたことで被害規模が拡大したと判断した。