韓国の暗号資産取引所Bithumbは、10月27日に社内モバイルグループウェアへの不正アクセスを検知し、同日中にKISA（韓国インターネット振興院）と個人情報保護委員会（PIPC）に届け出た。これは聯合ニュース（Yonhap）の報道による。

攻撃者が接触した範囲

侵害されたのは「Daou Office」で、Bithumbの社員がメッセージ交換やファイル共有に使用する業務アプリケーションだとNews1が報じた。Bithumbは同 media に対し、取引サービスは物理的に分離されたネットワーク上で稼働しており、暗号資産は盗まれていないと説明した。これは同社が10月2日のセキュリティに関するお知らせで説明した管理策、すなわちコールドウォネル storage、顧客資産移動時の承認ステップ、個人情報を扱う社員に対する制限やアクセスログ記録と一致している。

未解明なのは、このアプリ内にどのようなデータが存在していたかという点である。Digital Todayによると、これまでに漏えいした情報は主に社員に関するものだが、Bithumbは顧客データの可能性も排除していない。社員のチャットや共有ファイルには、日常的なサポート業務の中で顧客情報が混入することがあり、そのため今回の調査はメインの顧客データベースだけでなく、メッセージやドキュメントも対象としている。

フィナンシャルニュース（Financial News）が引用し韓国語から翻訳された声明の中で、同取引所は次のように述べた：「会員情報が含まれていた可能性を含め、正確な範囲を分析している。」

Bithumbは、影響を受けた人数（いる場合）、漏えいしたデータ項目、攻撃者がどのようにアクセスしたかについてまだ明らかにしていない。

38,490という数字はBithumbのものではない

Bithumbは、他の2つの韓国金融企業と同じ日に侵害を公表したが、その後、少なくとも一つの暗号資産ニュースサイトが「Bithumbの侵害で38,490人の顧客が影響を受けた」と報じた。この数字は大信証券（Daishin Securities）のものだ。韓国タイムズ（The Korea Times）が報じたところによると、大信証券は、オンライン口座開設に関連するサーバーへの不正アクセスにより38,490人の顧客の個人情報およびクレジット情報が漏えいしたことを確認しており、未来アセットグローバル投資（Mirae Asset Global Investments）も被害を受けていた。

大信証券の開示は、確認済みの通知がどのようなものかを示している。Digital Todayの報道によると、同社の調査では氏名、メールアドレスと自宅住所、電話番号、銀行名と口座番号を含む8種類のデータ漏えいが確認された。Bithumbはまだこれに匹敵する情報を公表していない。また、3件の事案が同一の攻撃者や侵入経路を共有しているという公的な調査結果もない。

Bithumbの過去の事例

2017年、攻撃者がBithumb社員の自宅パソコンを侵害し、約31,800人のユーザーの氏名、メールアドレス、携帯電話番号を取得した。当時の報道による。パスワードは盗まれておらず、Bithumbは当時、本社サーバーは侵害されていないと強調した。

被害はその後に及んだ。顧客のもとには、氏名と電話番号をすでに知っているBithumb職員を装う人物からの電話やメッセージが届き始め、一部の顧客は口座を保護するワンタイムパスワードを教えてしまった。100人以上の顧客が警察のサイバー犯罪捜査隊に被害を申告し、Bithumbは被害を受けた各ユーザーに10万ウォンを支給するとともに、実証された損失の補償を行った。

2026年の事案は異なるシステムであり、現時点では異なる範囲のものだ。しかし注視すべきはパターンである。取引所でのデータ漏えいによるリスクは、多くの場合後から、相手が実際の詳細を知っているために本物らしく聞こえる電話という形でやってくる。同様の懸念は、イスラエルのブローカーBits of Goldでの顧客データ漏えい後にも寄せられた。

Bithumbが2週間前に発していた警告

本件の発生前の10月14日、Bithumbは漏えいした個人情報を悪用する詐欺に関するガイダンスを公表していた。同社は、氏名、連絡先、利用サービスの知識があれば不正なメッセージが本物らしく見える可能性があると警告し、偽の補償オファー、本人確認、アカウントセキュリティ点検を装った手口を紹介していた。これはまさに今週、不安を抱える顧客に対して詐欺師が試みるであろう手口と一致する。

Bithumb顧客が今できること

• 侵害に関する電話、SMS、メールは、普段使用しているBithumbのアプリまたはウェブサイトで確認するまで、未確認のものとして扱う。
• 相手がどれだけ詳細を知っていても、連絡してきた相手にパスワード、ワンタイムコード、認証番号を絶対に共有しない。
• リンクからログインしたり資金を移動させたりする「補償」オファーは無視する。
• 対象データを明記した通知が出るか、Bithumbの公式お知らせボードを注視する。

顧客が追加情報を得るべき時期

韓国の個人情報保護法には期限が定められている。企業は個人情報の漏えいを認知した時点で、72時間以内に被害者へ通知し、被害を軽減するために取れる措置を含める必要がある。また、1,000人以上が影響を受ける場合や漏えいが外部からの不正アクセスによる場合は、同じ期間内にPIPCまたはKISAへ報告しなければならない。

Bithumbはすでに両機関へ侵入を報告している。調査で顧客データの漏えいが確認された場合、対象顧客への通知を求める72時間の時計はその確認時点から始まる。有用な通知には、アプリ内にどのデータ項目があったか、漏えいがいつまでの期間をカバーするか、Bithumbがどのように対象ユーザーに連絡するかが明記されるべきであり、それによって顧客は本物の連絡と、同社自身のガイダンスが警告した詐欺とを見分けられるようになる。

本記事は情報提供のみを目的としている。本件の範囲は現在も調査中であり、Bithumbおよび当局による追加情報の提供に伴い、調査結果は変更される可能性がある。