仮想通貨取引所Coinone、委託先へのハッキングで顧客情報11項目が漏えい

漏えいは11項目、パスワードも対象

韓国の仮想通貨取引所Coinoneは11月15日、外部委託先が扱っていた顧客情報が流出したと公式に確認した。委託先のサーバーがハッカーによって侵入されたもので、同社が公表した発表によると、顧客サポート業務を委託していたMetamのシステムに不正な第三者がアクセスし、相談時に収集された個人情報が標的になったという。侵入は11月12日午前4時頃に始まり、Metamが同日午前9時20分にCoinoneへ通報した。

公表された資料には、漏えいの可能性がある11項目のデータ種別が列挙されている。電話番号、氏名、メールアドレス、生年月日、銀行口座番号、パスワード、住民登録番号、身分証明書の発行日、自宅住所、仮想資産ウォレットアドレス、そして個々の送金をブロックチェーン上で特定する文字列TXIDだ。これらはチャットや電話での相談の際に顧客が提示した情報の種類を集約したものであり、すべての利用者が全項目を失ったことを意味しない。実際に露出した項目はアカウントごとに異なり、サポート窓口の利用履歴がない顧客は本件の対象外だ。

Coinoneは、利用者が自身のどの情報に該当があるかを確認できる照会サービスを個別通知とともに準備していると説明した。あわせて同社は、会員アカウント、マッチングエンジン、ウォレット基盤が委託先の相談用サーバーとは別系統で運用されていると強調し、発表時点でこれらの系統への直接侵入の形跡は確認されていないと述べた。

規制当局への報告とパスワード変更の呼びかけ

被害を把握した後、Coinoneは攻撃に使われたインターネットアドレスと不正アクセス経路を遮断し、カスタマーセンターをメール相談のみの運営に切り替えた。韓国インターネット振興院(KISA)、個人情報保護委員会、金融監督院の3機関にそれぞれ報告書を提出しており、Metamおよび外部専門家と協力して侵入の経路と被害範囲の特定を進めている。不審なログインや取引向けのリアルタイム監視も強化した。同社は委託先のセキュリティ管理態勢を直接点検するほか、パートナーネットワーク全体の安全策を見直す方針も示した。

取引所は、流出した情報がボイスフィッシング、フィッシングメール、スパム送信、なりすましの材料になる恐れがあると警告した。相談の際にパスワードを伝えた利用者には直ちの変更と、同じ認証情報を別サービスで使い回している場合の更新を求めている。Coinoneは、ワンタイムパスワードや認証コード、出金依頼を求めることは決してないと再度説明し、過去の相談に触れるメッセージはなりすましの可能性があると注意を促した。利用者はアプリまたはウェブからアカウントのロックや出金先アドレスの確認が可能で、身に覚えのないログイン、発注、出金を検知した場合は報告するよう求められた。

発表には、漏えいにより被害を受けた顧客が韓国法に基づき法定損害賠償を含む補償を請求できる旨も記されている。発表は二つの問題を切り分けている。一つはサポートの場面で共有したパスワードの露出、もう一つは取引所自身のアカウントシステムへの侵入の有無であり、後者は現時点で未確認だ。同種の事例としては、従業員向け内部システムが侵害され顧客データの流出有無を調査したBithumbでの捜査が先行している。今回のCoinoneの事例は、攻撃が取引基盤ではなくサポート委託先に着弾した点が異なる。

この一件は、中央集権型取引所の本当の攻撃対象領域が外注された人員業務にあることを示した。資金は動いておらず、取引系統とウォレット系統の分離設計が機能したとみられ、だからこそ本件は盗難ではなく情報流出にとどまっている。リスクは間接的だ。ウォレットアドレスとTXIDは公開台帳上では仮名性を持ち、DEXでも同様の仕組みが使われるが、氏名、住民登録番号、電話番号と組み合わされると、詐欺師は説得力のある標的型フィッシングの材料を得ることになる。人員業務の外注は仮想通貨業界特有の構造ではなく、TradFiの銀行もコールセンターを同じ形で運用している。それでも委託先監査が、コールドウォレットと並んで優良な仮想通貨取引所を選ぶ上での分水嶺になりつつあり、今後の焦点はCoinoneが公表する漏えいの確定範囲を示す次回報告だ。