クーパン個人情報3370万件流出の捜査に着手…「玄関の暗証番号まで奪われたようだ」

クーパン利用者3370万人の個人情報が流出し警察が捜査に着手した。

韓国警察によると、ソウル警察庁サイバー捜査隊は25日にクーパンから告訴状を受け付け正確な個人情報流出経路を把握するため資料を収集し分析中だ。クーパンが提出した告訴状には個人情報を流出した被告訴人が特定されないで姓名不明者と記載された。

クーパンはこの日、個人情報が流出した顧客のアカウント数が3370万件と確認されたと明らかにした。18日にクーパンが明らかにした流出アカウント約4500件の7500倍水準で、事実上すべての顧客の情報が流出したとみられる。流出した情報は顧客の名前、メールアドレス、配送先住所、配送先電話番号などだ。ただ決済情報やクレジットカード番号、ログイン情報は流出していないとクーパンは明らかにした。

あるメディアは今回の個人情報流出の核心関連者が中国国籍のクーパン元社員で、事件発生直後に出国したと報道した。警察はあらゆる可能性を念頭に多角的に捜査する方針だ。

韓国最大の電子商取引企業のクーパンで個人情報が流出し消費者の混乱も大きくなっている。Xには「クーパンから個人情報が流出したとメッセージがきたが、今後の対処や被害補償には言及がない」「流出した情報だけであらゆる犯罪に関係できそうだ」「クーパンを相手に集団訴訟を起こさなくては」「配送先住所にマンション玄関の暗証番号を書いておいたがすべて奪われたようだ」「クーパン退会して3年過ぎた私にも個人情報が流出したとメッセージがきた。なぜ退会者の個人情報を削除しないのだろう」など不満のポストが相次いだ。

>>1

顧客情報を流出させたクーパン、集団訴訟オンラインコミュニティが早くも20万人突破…ローファームも参加者募集

3370万人の顧客情報が外部へ流出したクーパン（Coupang）を相手取り、大規模な集団訴訟の動きが起きている。1日までにクーパン集団訴訟オンラインコミュニティには20万人を超える会員が加入し、訴訟の意思を表明した。一部の顧客は1人あたり20万ウォン（約2万1000円）を賠償するように求める訴訟をこの日起こした。

>>2

◇オンラインコミュニティ会員数20万人超…一部は訴状提出

クーパンが個人情報流出の事実を公開してからわずか2日後の1日、ネイバー（NAVER）にはクーパンに対する集団訴訟準備オンラインコミュニティが約10個開設された。「クーパン・ハッキング被害者集団訴訟オンラインコミュニティ」は約8万人、「クーパン個人情報流出集団訴訟オンラインコミュニティ」は7万人など、合計20万人を超える会員がリアルタイムで加入し、訴訟参加の意思を明らかにしている。

ローファームや弁護士たちも、訴訟代理の市場に先を争って参入している。法務法人「清（チョン）」は1日、消費者14人を代理し、1人あたり20万ウォンの損害賠償を請求する訴状をソウル中央地裁に提出した。クァク・ジュノ代表弁護士は「流出の範囲や経緯がすべて解明されるまで待っていれば被害救済が過度に遅れる可能性があるため先制的に訴訟を提起した」と述べた。

流通大手「ホームプラス」など情報流出事件の集団訴訟を進めてきた法務法人「志向（チヒャン）」は11月30日、「個人情報保護法が規定した安全性確保措置義務に対して重大な違反を犯したクーパンを相手に、被害顧客の損害賠償を請求する集団訴訟の参加者を募集する」と明らかにし、オンラインコミュニティやホームページで参加者を募っている。

クーパンが流出事実を認めた当日、フェイスブックで集団訴訟の募集を明らかにした法律事務所「好人（ホイン）」のキム・ギョンホ弁護士は、「訴訟募集から1日で1650人」（11月30日フェイスブック）、「国民の参加が爆発しており、一人ひとりに回答できないほどの状況」（1日フェイスブック）と投稿した。LawPid法律事務所のハ・ヒボン代表弁護士も1日、フェイスブックに「共同訴訟の準備を考えている」と書き込んだ。

これらの弁護士は、「中国籍の元社員が無断でサーバーにアクセスして情報を盗み出した。クーパンが社員に対する適切な管理・監督義務を怠った結果」（志向）、「クーパンがアクセス制御、接続記録の保存、暗号化措置などを疎かにしていた場合、過失が認められる」（キム弁護士）、「企業のセキュリティ鈍感症が招いた人災」（ハ弁護士）などと述べ、クーパンの責任を指摘している。

>>3

◇訴訟参加者だけが対象の“集団”訴訟…過去の賠償額も10万ウォン水準

消費者も法曹界も素早く動いてはいるが、実際に賠償判決が出るまでには多くの限界があるとの分析も出ている。2011年のハッキングで3500万人の顧客情報が流出したSKコミュニケーションズ（サイワールド・ネイト）事件をはじめ、これまで企業による顧客情報流出事件で裁判所が大規模賠償判決を下した例は事実上一度もない。

これは、基本的に韓国では個人情報流出関連の訴訟が正式な集団訴訟ではないという限界による。正式な集団訴訟制度は、被害者代表が訴訟を提起して判決を受けると、その効力がすべての被害者に及ぶが、現在韓国では資本市場法違反行為にのみ適用される。つまり、情報流出事件で裁判所が企業の責任を認めても、賠償を受けることができるのは訴訟参加者のみとなる。

実際、過去の判例を見ても責任範囲は広くない。2016年のインターパークハッキング事件では1030万人の個人情報が流出したが、集団訴訟に参加した被害者は約2400人にすぎなかった。法曹界では、通常情報流出事件の実際の訴訟参加率は1％を下回ると見ている。今回の事件も、オンラインコミュニティの加入者数よりもはるかに少ない人数が訴訟に進むとみられる。

企業の責任が認められたとしても、賠償額は10万ウォン前後の水準だ。上記インターパーク事件は4年間の訴訟の末、2020年に1人あたり10万ウォンの賠償判決が出た。カード3社（ロッテ・国民・農協）の情報流出事件でも4年の訴訟の末、1人あたり10万ウォンの賠償額が確定した。今回の訴訟に乗り出した弁護士も、賠償額を10万〜20万ウォン水準に設定している。

>>4

◇「すざんな対応」「内部社員の犯行」疑惑…賠償額が上昇する変数

ただし、過去の判例とは異なる変数もある。クーパンの場合、6月から情報が漏れていたにもかかわらず、5カ月が過ぎた11月になってようやくこれを認知して公開した。志向のノ・ジョンヨン弁護士は「クーパンが毎月アクセス記録を誠実に点検するシステムを正常に運営していたのであれば、6月から始まった海外サーバーからの異常アクセスを数カ月も放置することは不可能だった」と指摘した。

さらに、外部のハッキングではなく内部社員の犯行であるという疑惑が事実と認められた場合、クーパンの責任は重くなる可能性がある。SKコミュニケーションズ事件は2018年、最高裁で賠償責任を免れたが、外部のハッキングによるものだった点が根拠となった。法曹界関係者は「情報流出が不可避な外部要因によるものなのか、社員の犯行なのかが重要な争点となる」と述べた。

一方で、クーパンの主張どおり、流出した情報が決済やログイン情報のような敏感な金融情報ではないという点が裁判で参酌された場合、賠償額が低くなる可能性もある。

https://japanese.joins.com/JArticle/341652?servcode=300&sectcode=300

なんか、日本では快活クラブから個人情報が洩れ、ハッキングした高校生を逮捕したとか、今朝のニュースで言ってたな。