スウェーデンのファッション大手H&Mは金曜日、韓国で一部の顧客の個人情報が流出する情報漏えいを公表したと明らかにした。

同社は会員向けに送付した通知の中で、8月5日頃に発生したとみられる業務システムへの攻撃を通じて、顧客情報への不正アクセスと流出を伴う事案を確認したと述べた。正式名称をヘネス・アンド・マウリッツ(Hennes & Mauritz)というH&Mは、ストックホルムに本社を置く世界最大級のファッション小売企業の一つであり、2010年に韓国へ初出店して以来、同国で事業を展開している。

同社によると、攻撃を検知した後、迅速にセキュリティ対策を強化し、調査に着手した。これまでの調査結果では、流出した情報には顧客のメールアドレス、電話番号、注文または返品の参照番号が含まれる。

H&Mは、韓国の国民識別番号である住民登録番号のほか、クレジットカード情報、決済情報、パスワードといった、より機密性の高い情報は影響を受けなかったと強調した。韓国では、過去の大規模流出を受け、住民登録番号のオンライン収集が厳しく制限されており、これは同国が大規模なデータ事故を長年にわたり経験してきた経緯の名残である。

韓国では、主要なプライバシー法である個人情報保護法(PIPA)に基づき、企業のデータ取り扱いが規制されている。同法は、情報漏えいを起こした企業に対し、影響を受けた利用者への通知と、国家のデータ保護規制当局である個人情報保護委員会(PIPC)への報告を義務付けている。2023年の改正でこれらの義務はさらに強化され、72時間以内の通知期限と、違反に対する総売上高の最大3%に相当する課徴金が新たに盛り込まれた。H&Mは、関連する政府当局にも事案を報告し、さらなる不正アクセスを防止し、顧客への潜在的な被害を軽減するための追加措置を講じていると述べている。

今回の公表は、韓国で事業を展開する企業をめぐる情報漏えいが最近相次ぐ中で行われた。6月には、韓国のストリーミングプラットフォームTvingが、利用者の個人情報への不正アクセスを確認したと発表した。

Tvingは自社ウェブサイトに掲載した通知の中で、流出の可能性があるデータとして、ユーザーID、氏名、生年月日、性別、携帯電話番号、メールアドレスを挙げた。住民登録番号と決済関連情報は流出していないと同社は説明した。

これら最近の事案は、記録上でも最大級の情報漏えいに続くものである。2011年にはウェブポータル運営企業SK Communicationsへのハッキングにより約3,500万人のユーザーデータが流出し、2014年には韓国の大手クレジットカード会社で数千万件規模の情報流出が発生した。これらの事案を受け、同国のプライバシー法制はその後、相次いで大幅に見直されてきた。

H&Mは今回の漏えいで影響を受けた顧客の数を公表しておらず、調査が続く中、事案の規模は未解明の疑問として残されている。

出典: Korea Herald Business