韓国ロッテカード297万人情報流出事件から学ぶ企業セキュリティの重要性と対策

韓国で相次ぐハッキング事件、政府が抜本的対策に乗り出す

2024年末、韓国でまた大規模なサイバー攻撃事件が発生しました。ロッテカードから297万人もの個人情報が流出した事件を受け、韓国政府は従来のセキュリティ対策を根本から見直すことを発表。これは他人事ではありません。日本企業も同様のリスクに直面しているのです。

フォレンジックアナリストとして数多くのインシデント対応を経験してきた私から見ても、この事件は企業のセキュリティ投資に対する姿勢の問題を浮き彫りにした典型例といえるでしょう。

ロッテカード事件の深刻な実態

今回の事件で最も衝撃的だったのは、セキュリティ予算削減の実態です。金融監督院の調査によると、ロッテカードは以下のような状況でした：

• 2019年にMBKパートナーズに買収後、5年間で2893億ウォンを配当
• 買収前の5年間（741億ウォン）と比べて4倍以上の配当増加
• 営業利益は3149億ウォンから1689億ウォンへ大幅減少
• 情報保護予算比重は2021年12%から2023年8%に削減

このパターン、実は日本でも珍しくありません。私が対応したある中小企業では、買収後にセキュリティ担当者を半減させた結果、わずか6か月後にランサムウェア攻撃を受けて事業停止に追い込まれたケースがありました。

企業のセキュリティ軽視が招く深刻な被害

現場のフォレンジック調査で見えてくるのは、多くの企業がセキュリティを「コスト」としか考えていない現実です。しかし、実際の被害を見ると：

• 個人情報流出による損害賠償金
• 業務停止による機会損失
• 信頼失墜による顧客離れ
• 復旧コストと調査費用

これらの総額は、予防に必要だった投資額の数十倍から数百倍に達することも珍しくありません。

韓国政府の新たなサイバーセキュリティ戦略

今回韓国政府が発表した対策は、これまでの受動的な姿勢から大きく転換するものです。

1. 能動的な調査体制への転換

従来は企業からの申告を待って調査を開始していましたが、今後は政府が直接状況を確認次第、申告の有無に関わらず調査を開始します。これは画期的な変化で、企業の隠蔽体質に歯止めをかける効果が期待されます。

2. AI技術を活用した探知・遮断システム

人工知能基盤の探知・遮断技術を国家保安体系全般に適用し、対応速度を向上させる計画です。現在のサイバー攻撃は高度化・自動化されており、人手だけでは対応が困難になっています。

3. 企業ガバナンスの根本的改革

最も注目すべきは、CISO（最高情報保護責任者）がCEOに直接報告する体系の制度化です。これまで多くの企業でセキュリティ担当者の発言力が弱く、予算確保が困難だった問題の解決を図ります。

日本企業が今すぐ取るべき対策

韓国の事例から学ぶべきポイントは明確です。日本企業も同様の問題を抱えており、早急な対策が必要です。

個人・小規模事業者向け

まず基本的な防御を固めることが重要です。多くの中小企業では、基本的なアンチウイルスソフト すら導入されていないケースが見られます。また、リモートワークが普及した現在、VPN の導入も必須となっています。

実際の事例として、ある地方の製造業では従業員が自宅から会社のサーバーにアクセスした際、暗号化されていない通信を傍受され、設計図が盗まれた事件がありました。VPNを導入していれば防げた被害です。

企業向けの包括的対策

企業レベルでは、定期的なWebサイト脆弱性診断サービス の実施が不可欠です。私が担当した企業でも、脆弱性診断により重大なセキュリティホールが発見され、攻撃を未然に防げたケースが多数あります。

特に以下の点は緊急に見直しが必要です：

• セキュリティ予算の確保と維持
• 定期的な脆弱性診断の実施
• 従業員へのセキュリティ教育
• インシデント対応体制の構築
• バックアップシステムの整備

制裁強化の流れは世界的トレンド

韓国政府は今回、最大200億ウォンの懲罰的課徴金導入を発表しました。これは世界的な流れと一致しており、日本でも同様の制裁強化が予想されます。

EUのGDPRでは、売上高の4%または2000万ユーロのいずれか高い方の制裁金が科されます。実際に、2023年にはメタ社が約1400億円の制裁金を科されるなど、高額な制裁事例が相次いでいます。

企業経営者が知るべきリスク

現在の状況を整理すると：

• サイバー攻撃の被害額は年々増加傾向
• 政府の監視・制裁は厳格化の一途
• 顧客のセキュリティ意識向上により、被害企業への風当たりが強化
• 保険でカバーできない損害（信頼失墜等）が深刻化

もはやセキュリティ対策は「やれば良い」レベルではなく、「やらなければ事業継続が困難」な必須要件となっています。

具体的な導入ステップ

段階的にセキュリティ対策を強化していくために、以下の順序で進めることを推奨します：

第1段階：基礎固め（緊急度：高）

1. 全デバイスにアンチウイルスソフト を導入
2. リモートアクセス用にVPN を設定
3. 定期的なソフトウェアアップデート体制の構築

第2段階：体系的強化（緊急度：中）

1. Webサイト脆弱性診断サービス による現状把握
2. 従業員向けセキュリティ研修の実施
3. インシデント対応マニュアルの作成

第3段階：継続的改善（緊急度：中）

1. 定期的なセキュリティ監査
2. 最新脅威情報の収集体制
3. セキュリティ投資の継続的見直し

まとめ：今こそセキュリティ投資の再考を

韓国ロッテカード事件は、短期的な利益追求がいかに危険かを示す典型例です。セキュリティへの投資を怠った結果、最終的には企業価値を大きく毀損することになりました。

日本企業も他人事ではありません。サイバー攻撃は国境を越えて発生し、その手口は日々巧妙化しています。今回の韓国政府の対策発表を機に、自社のセキュリティ体制を根本から見直してみてはいかがでしょうか。

「転ばぬ先の杖」という言葉がありますが、サイバーセキュリティの分野では「転んでからでは手遅れ」なのが現実です。今すぐ行動に移すことが、企業の未来を守る最善策といえるでしょう。

一次情報または関連リンク

政府が相次ぐハッキング事態を契機に通信·金融保安体系を原点から再び点検 – 毎日経済