韓国第3位の暗号資産取引所Coinoneは、委託先のカスタマーサポート会社MetaMのサーバーがハッキングされ、顧客の氏名、銀行口座番号、住民登録番号など11種類の情報が流出した恐れがあると発表した。公式はカスタマーサポートをメールのみの対応に切り替え、韓国の関係当局に報告した。 （関連記事：ハッカーから脅迫メール！韓国の暗号資産取引所GOPAXが全面的に取引を停止、資産をコールドウォレットへ移動） （背景情報：韓国の取引所Upbitが3,040万ドル相当のハッキング被害！Naverに買収されたばかりの親会社Dunamuが全額補償） 韓国第3位の暗号資産取引所Coinoneは日曜日、委託運営しているカスタマーサポート体制がハッキングされたことを確認した。顧客が過去に電話やオンラインでのやり取りで伝えた氏名や銀行口座番号、さらには住民登録番号まで、流出した可能性のある情報のリストに含まれている。 Coinoneが公式サイトで発表した内容によると、外部の攻撃者は11月12日午前4時ごろ、カスタマーサポート業務を委託されていたMetaM（메타엠）のサーバーに不正侵入し、そこに保管されていた問い合わせ記録を閲覧または持ち出した。Coinoneは、同日午前9時20分ごろにMetaMから報告を受け、事態を把握したという。 Coinoneは、流出の可能性がある情報項目を一つずつ列挙した。顧客がオンラインチャットや電話での問い合わせ時に自ら提供した電話番号、氏名、メールアドレス、生年月日、銀行口座番号、パスワード、住民登録番号（韓国の身分証番号）、身分証の発行日、自宅住所、ウォレットアドレス、取引番号（TXID）の計11項目だ。 Coinoneは、このリストは影響を受けた可能性のある項目をすべて列挙したものであり、顧客が問い合わせのたびに提供した情報は異なるため、実際に流出した内容も人によって異なると強調した。 影響の範囲について、Coinoneはカスタマーサポートセンターに一度も連絡したことのない顧客は今回の事案とは無関係だと明言したが、情報に影響が及んだ顧客の人数は明らかにしていない。同社は、顧客が自分のどの情報がリスクの対象となっているか確認できるよう、個人情報流出の照会サービスを別途提供するとしている。 顧客が最も気にかけている資産の安全性について、Coinoneは会員アカウント、取引システム、暗号資産ウォレットシステムはすべてMetaMのサーバーとは別に運用されており、現時点で直接侵入された形跡は見つかっていないと説明した。また、すべてのログインで二段階認証を必須としており、パスワードが正しいだけではログインできず、顧客自身が登録したOTPまたは本人の携帯電話を使ったKakaoTalk認証も必要だと強調した。公式アプリ以外からのログイン要求は自動的に遮断されるため、今回流出した可能性のある情報だけではアカウントへのログインや資産の引き出しはできないという。 事故への対応として、Coinoneは事態を確認するとすぐに委託先のカスタマーサポートによる電話とリアルタイムチャットのサービスを停止し、メールのみを受け付ける方式に切り替えた。また、不正アクセス経路を遮断し、今後、自社と提携先の情報セキュリティ管理体制を全面的に点検するという。同社は、犯人が過去のやり取りで得た詳細を使ってCoinoneになりすまし、詐欺を働く可能性があると警告。顧客に対し、不審な電話、メール、SMSを受け取った場合は十分に警戒し、問い合わせ時に伝えたパスワードを変更するよう呼びかけた。 外部委託のカスタマーサポートがなぜ弱点になったのか 今回の事故で特に注目すべき点は、侵入されたのが取引所の中核となる口座管理システムではなく、電話対応を担う第三者のカスタマーサポート会社だったことだ。 同様の事例は世界の暗号資産業界で繰り返し起きている。取引所の委託先から顧客の連絡先情報が漏れ、数万人の利用者がフィッシングのリスクにさらされる一方で、取引所の中核システムは多層的な隔離と多要素認証によって、かえって直接侵入しにくくなっている。取引所がカスタマーサポート、マーケティング、クラウドなどの業務を外部業者に委託しても、情報セキュリティ上の責任まで外部に移るわけではない。小規模な委託先のサーバー防御の強度が、取引所の顧客情報を守る安全性の最低ラインを直接左右する。 韓国の規制当局、同じ週に規制を強化 タイミングは非常に微妙だ。Coinoneがカスタマーサポートのサーバーへの侵入を報告されたのと同じ日（11月12日）、韓国金融委員会（FSC）は副委員長主催の「仮想資産業界のセキュリティ対策会議」を開いた。会議では、最近、業界で「情報漏えいや情報セキュリティ事故が相次いでいる」と指摘し、複数の対策を決定した。事業者に対し、年中無休の監視・対応体制を整備するよう求め、24時間体制を維持できない事業者は、監視を継続できる時間帯に限って入出金を処理し、その旨を事前に顧客に説明しなければならないとした。 もう一つの重要な決定は、「ハッキング被害が疑われる」段階で、事業者が入出金をあらかじめ凍結することを認めた点だ。FSCによると、現行の「仮想資産利用者保護法」では、ハッカーによる攻撃が明確に確認された場合に限り入出金を停止できる。バイナンスなどの事例を踏まえると、遮断が早いほど顧客の損失を抑えられるため、事業者に「不作為意見書」を発行し、早期に阻止した取引所が違法性を問われる懸念を取り除くとしている。会議では、顧客資産をコールドウォレットに保管する割合を最大限まで引き上げることも求めた。現在の規制上の最低水準は80％で、業界の実際の平均はすでに95％を超えている。さらに、ホットウォレットの残高を最低限に抑え、複数のウォレットに分散すること、保険の補償上限と準備金の水準を引き上げることも奨励した。 FSCはまた、金融保安院の会員カバー率が低すぎると指摘した。仮想資産事業者28社のうち、韓国ウォン市場の取引所で加盟を完了したのは5社のみだという。今後、残る事業者にも加盟を促し、金融機関と同等レベルの脅威情報共有、脆弱性検査、情報セキュリティ教育を受けられるようにする。加盟がどうしても難しい場合は、中小金融機関と同様に支援を提供する。国会で審議中の「デジタル資産法」案については、デジタル資産事業者に金融機関と同様の情報技術セキュリティ義務と損害賠償責任を負わせる方針だ。 関連記事 韓国第3位の暗号資産取引所Coinoneが売却へ？韓国投資証券が株式取得を計画との報道、未来資産グループに対抗 Coinbase、ハッキング被害を否定！顧客の連絡先情報流出の原因はAmplitudeか 6万9,000人のCoinbase利用者の情報流出）公式：最大4億ドルを補償、ハッカーへの身代金支払いを拒否 TSMCの従業員4万6,000人分の個人情報、3ビットコインでダークウェブに出品。公式は流出を認めるも、システムへの侵入は否定 SafePalで情報流出が発覚：顧客約4万人分の注文情報が漏えい、資産と秘密鍵は安全 「韓国第3位の取引所Coinone、委託先のカスタマーサポートがハッキング！氏名、身分証番号、銀行口座番号が流出した恐れ」この記事は、もともと動区BlockTempo（動区動趨―最も影響力のあるブロックチェーンニュースメディア）で公開されたものです。