韓国の金融業界に衝撃が走りました。2025年8月、韓国大手クレジットカード会社のロッテカードがランサムウェア攻撃を受け、約300万人分の顧客情報が漏洩する可能性があることが明らかになったのです。

この事件は、現代のサイバーセキュリティ対策がいかに重要かを改めて示すものとなりました。私たちは、この大規模な情報漏洩事件から何を学ぶべきでしょうか？

事件の全容：なぜこれほどの被害が発生したのか

今回の攻撃で漏洩した可能性がある情報は、単純な連絡先だけではありませんでした。住民登録番号、カード番号、有効期限などが含まれていたのです。

攻撃者は巧妙でした。2017年にセキュリティパッチが提供されていた決済関連サーバーが、8年もの間未更新のまま放置されていたことを狙い撃ちしたのです。このサーバーは海外向けサービス用で利用が限定的だったため、管理の目が届きにくかったと推測されます。

さらに深刻だったのは、侵入後の対応です。攻撃者は約2週間にわたってシステム内部に潜伏し、合計約2,700件のファイルを外部に持ち出しました。この間、セキュリティ監視システムは異常を検知できなかったのです。

より問題なのは、漏洩したファイルのうち暗号化されていたのはわずか56%だったという事実でしょう。つまり、約半数のファイルは平文で保存されていたということになります。

セキュリティ管理の三重の失敗

この事件を分析すると、三つの重大な管理課題が浮き彫りになります。

まず、パッチ管理の不備です。2017年という8年前に提供されたセキュリティパッチが適用されていなかった事実は、組織のセキュリティ管理体制に根本的な問題があることを示しています。**特に利用頻度の低いシステムほど、管理が疎かになりがち++です。

次に、監視体制の不十分さです。2週間という長期間にわたって不正アクセスを検知できなかったことは、リアルタイム監視システムの機能不全を意味しています。現代のサイバー攻撃では、侵入から数時間以内の検知が理想とされる中で、これは致命的な遅れでした。

そして最後に、データ保護の不徹底です。機密性の高い個人情報の約半数が暗号化されていなかったという事実は、データ分類と保護ポリシーの実装が不十分だったことを物語っています。

被害の深刻さと長期的影響

ロッテカードは約960万人の会員を抱え、韓国国内のクレジット決済の日次10%前後を処理する重要なインフラ企業です。今回の漏洩により、被害者は長期間にわたって様々なリスクにさらされることになります。

最も懸念されるのは、標的型フィッシング攻撃の増加です。攻撃者は漏洩した個人情報を使って、極めて精巧な偽メールや偽サイトを作成することができます。特に、識別番号と連絡先、そしてカード情報の組み合わせは、攻撃者にとって非常に価値の高いデータセットといえるでしょう。

さらに深刻なのは、本人なりすましによる二次被害の可能性です。住民登録番号などの固有識別情報は変更が困難なため、長期間にわたって悪用されるリスクが残り続けます。

企業側の対応を見ると、ロッテカードは不正利用の確認はないとしつつ、該当顧客への通知とカード停止・再発行の手続きを開始しました。しかし、このような事後対応だけでは、根本的な問題解決にはなりません。

今後の課題：組織とガバナンスの見直し

この事件は、単なる技術的な問題を超えて、組織ガバナンスの課題も浮き彫りにしています。

2019年にロッテカードを買収したMBKパートナーズは、セキュリティを含むIT分野に約6,000億ウォンの投資を行ってきたと主張しています。しかし、今回の事件を見る限り、投資額の多寡よりも、投資の質と実装の徹底さが問題だったようです。

政府レベルでも課題が指摘されています。韓国では金融セクターは金融監督院傘下の金融保安院、非金融分野は科学技術情報通信部傘下のKISAという縦割り行政により、初動対応や情報共有に遅れが生じたとの批判が出ています。

私たちが学ぶべきは、サイバーセキュリティが単なる技術的課題ではなく、組織全体の経営課題であるということです。セキュリティ投資は継続的に行われる必要があり、特にパッチ管理、監視体制、データ保護の三つの柱をバランス良く強化することが重要です。

まとめ

今回のロッテカード事件は、韓国だけでなく世界中の企業にとって貴重な教訓となるでしょう。私たちは、この事件から学んだ知見を活かし、より強固なサイバーセキュリティ体制の構築に努める必要があります。特に金融機関をはじめとする重要インフラ事業者は、今一度自社のセキュリティ体制を見直すことが求められています。