SM Entertainment、業務文書の流出を公表―口座番号・住民登録番号などが対象

韓国のSM Entertainmentは、外部攻撃者が電子決裁システムなどの業務システムへ不正にアクセスし、保管文書の一部を持ち出したと公表しました。11月8日の聯合ニュースは同日の発表と報じています。公式告知が示す流出発生時期は11月4日ごろで、公表日とは異なります。

対象となった項目は、氏名、携帯電話番号、住所、口座番号、韓国の住民登録番号、所属・役職、契約書の記載情報などです。すべての人について全項目が流出したという意味ではなく、同社は対象者と項目を特定し、メールやSMSで順次個別通知すると説明しています。参照した公式告知では人数を示していません。

同社は攻撃元IPとアクセス経路を遮断し、アクセスキーを交換するなどの対応を実施しました。ただし、キーの交換という事後措置だけでは、キーの窃取が最初の侵入原因だったとは判断できません。具体的な侵入手法や悪用された脆弱性は公表されておらず、当局と調査を進めています。

告知時点で、流出情報の悪用による二次被害は確認していないとしています。同社や関係者を装う金銭要求、個人・金融情報の照会に注意し、出所の不明なURLや添付を開かないよう呼びかけています。