セキュリティ予算は増えたのに、ログイン画面はそのまま
パスキーも2FAもすでにあります。オンにしない理由はコンバージョン率です。
ビジネスクーパン以降9カ月、リストは伸び続けています
去る9月3日、韓国の科学技術情報通信部の官民合同調査団がTVING侵害事故の調査結果を発表しました。利用者アカウント約3,954万件とソースコードを含む技術資産361件が流出しました。その翌日の9月4日には、美容医療プラットフォーム「カンナムオンニ」で相談内訳照会APIへの異常アクセスが発生し、22万人分の情報が漏れました。8月にはチョンサン語学院で26万件、成人教育プラットフォームのデイワンカンパニーでも流出通知が出ています。
クーパンの流出が明らかになったのは昨年11月末のことです。それから9カ月以上経っても、リストは減っていません。韓国インターネット振興院（KISA）に届け出があった今年上半期の侵害事故は1,236件で、昨年同期より19.5%増えました。ランサムウェア感染の届け出は76.8%、分散型サービス妨害攻撃は56.7%増加しています。
ただ、この期間に企業がセキュリティにお金を使わなかったわけではありません。KISAの情報保護公示を見ると、クーパンは2025年に情報保護に1,349億ウォンを使いました。前年より51.6%増やした金額で、国内2位です。サムスン電子（4,121億ウォン）に次ぐ規模です。そして去る9月11日からは改正個人情報保護法が施行され、大規模な流出を起こした企業に全体売上額の最大10%まで課徴金を科せるようになりました。
お金も増え、法律も強化されたのに、リストは減りません。 この記事は、その間に何が抜け落ちていたのかを見ていきます。答えは技術がないからではありません。アカウントを守る手段はとうの昔に登場していて、今ではNAVERやカカオも対応しています。それをオンにしないという決定が、毎日どこかの会議で下されているだけなのです。
TVINGは暗号化キーまで一緒に流出しました
TVINGの事故の始まりは5月30日午後6時1分です。DBサーバーのCPU使用率が100%まで急上昇する異常兆候を検知し、侵害を認知しました。翌日に流出を確認し、6月1日に届け出て、利用者への告知は6月3日に出されました。
調査結果で注目すべき点は、規模ではなく暗号化の状態です。パスワードは一方向暗号化されていたため、復号はできない状態でした。しかし、携帯電話番号とメールアドレスは、暗号化されたデータと、それを解く暗号化キーが一緒に流出しました。 調査団はこれを事実上、平文流出と同水準だと判断しました。金庫ごと持ち去りながら、鍵も一緒に持っていったようなものです。流出項目は、氏名、生年月日、携帯電話番号、メールアドレス、連携情報（CI）1を含む20項目70種です。
数字を読む際には、一つ区別が必要です。3,954万はアカウント数であって、人数ではありません。KBSの報道が伝えた流出規模は1,900万人です。1人が複数のアカウントを作った場合や、重複集計されたケースがふるい落とされた数字とみられます。項目別の正確な規模は、韓国の個人情報保護委員会が別途確定する予定です。
TVINGが6月10日から7月2日まで取った措置が、この事故の性格をよく示しています。CJ ONEのIDで加入した会員のアカウントを全面的にロックし、強制ログアウトさせました。TVINGから漏れたIDとパスワードの組み合わせで、CJの他のサービスへログインが試みられるのを防ぐための措置でした。これをクレデンシャルスタッフィング2と呼びます。
防ぐ方法は昔からありました
クレデンシャルスタッフィングは韓国で最も多い二次被害の経路です。昨年1月、GSリテールで9万人分の情報が流出した事故も、複数の経路で集めたIDとパスワードを無作為に代入する手口でした。どこか一か所から漏れたパスワードが、他の十か所の扉を開けてしまう構造です。
これを防ぐ手段はとうの昔からあります。2段階認証はパスワードのほかにワンタイムコードや機器認証をもう一つ要求します。パスワードを知っていても二つ目の関門を越えられなければログインできないので、クレデンシャルスタッフィングそのものが成立しません。さらに進んだのがパスキー3です。パスワードを完全になくし、端末に保存された秘密鍵と指紋・顔認証でログインします。サーバー側に盗まれるパスワードがないので、流出しても使えません。Google・Apple・Microsoftはもちろん、NAVERやKakaoもすでに対応しています。
つまり問題は手段がないことではなく、既にある手段をデフォルトでオンにしないことです。 国内の大半のサービスで、2段階認証は設定メニューの奥にある任意項目です。ログイン画面のデフォルトは今もパスワード一つだけです。
なぜオンにしないのでしょうか。予算のせいではありません。ログイン段階に認証をもう一つ加えると、会員登録の転換率が下がり、ログイン成功率も下がります。その数字がそのまま誰かの四半期目標になります。だから現場では、ユーザー数の減少や利用フローの改善を理由に、セキュリティ適用が先送りされることが繰り返されます。言い訳にはならない理由なのに、実際には最も頻繁に働く理由です。
ここで確認しておきたいことがあります。その前提が検証されたことがあるのかということです。パスキー側の調査はむしろ逆を語っています。決済プロセスが短くなってカート放棄が減り、ワンタイムパスワード発送コストとパスワード再設定問い合わせコストも同時に減るという主張です。ただし、こうした調査は概ねすでに導入した企業を対象にしていて、失敗事例が抜け落ちています。導入すれば売上が伸びるという結論まで行くのは難しいです。
そこで、実際に使っている人たちの声を探してみました。そこから出てきた不満は、転換率の話ではありませんでした。
鍵をかけた正面玄関の横に、開いた裏口がある
9月15日、Hacker Newsに「パスキーが気に入らない」という投稿が上がり、73件のコメントが付きました。開発者が集まる場所であるにもかかわらず、反対意見がかなり多く見られました。
不満はいくつかの方向に分かれます。最も多く挙げられているのは、機器を失うとアカウントに入れなくなるという点です。複数の機器に同じアカウントの鍵を登録する汎用的な方法がないため、機器を買い替えたりOSを移行したりするたびに、毎回最初からやり直すことになります。サードパーティのパスワード管理ツールに鍵を入れておいても、サイト側がそれを正しく認識せず、ログインのたびに新規作成を求められるケースもあります。確認ボタンを何度か押すうちに気づかぬうちにパスキーが登録され、後で別のコンピューターから使えなくなったという話も出ています。鍵がどこに保存されるのかと問えば、答えは「場合による」であり、ユーザーは自分が何を失う可能性があるのかも分からないまま使っている状態です。
反対の意見も確かにあります。1PasswordやProtonのような管理ツールを使えば機器を移動しても問題なく使えるという反応、Appleの環境では設定というものがそもそも要らなかったという反応も多く見られます。概念自体の問題ではなく、各プラットフォームの実装が悪いだけだという立場です。
しかし、この論争で最も鋭い指摘は別にあります。機器を失ったときにどうするのかという問いへの答えです。「機器を失いました」を押すと、メールやSMSでリセットリンクが送られてきます。**正面玄関に最新の鍵を取り付けても、裏口は昔のままだということです。**攻撃者は鍵のかかった玄関を叩くのではなく、開いている裏口から入ってきます。
韓国ではこの指摘がより痛烈に響きます。韓国国内のサービスのアカウント復旧は、大抵携帯電話による本人確認に収束します。そして本人確認が依拠する情報は、氏名、生年月日、携帯電話番号、そして連携情報です。**TVINGから流出した20項目70種は、まさにそのリストそのものです。**携帯電話番号は暗号化キーまで一緒に流出しました。
つまり、パスキーを導入することと復旧経路を整えることは、同時に進めなければなりません。正面玄関だけを変えても、攻撃コストが消えるわけではなく、裏口へと移るだけです。ここ数年で韓国で流出した情報の大半は、正面玄関を開ける鍵ではなく、裏口を開ける鍵でした。
ここで前の節の話に戻ります。現場の会議で出てくる反対理由は登録コンバージョン率です。しかし実際に存在する問題は、アカウント復旧と機器の移行です。この二つは別の問題であり、解決方法も異なります。本当の問題を偽の理由で後回しにすれば、その問題を設計する機会そのものが失われてしまいます。
課徴金はまだ計算をひっくり返せていません
セキュリティ対策を先延ばしにする決定が維持されるには、先延ばしにしたときのコストが許容範囲内でなければなりません。これまでのところ、それは許容範囲内でした。
韓国の個人情報保護委員会は6月11日、クーパンに課徴金6,246億8,100万ウォンと過怠料1,680万ウォンを科しました。歴代最大規模です。それまで最大だったSKテレコムのUSIM流出案件の1,347億9,100万ウォンを大きく上回りました。流出規模は会員3,322万人と非会員最低433万人を合わせた3,755万人でした。個人情報保護委員会は、認証システムとキー管理を怠った点、6か月以上にわたって異常行動を検知できなかった点を重大性の要素として見ています。
ところが、個人情報保護委員会が同じ判断の中で言及したクーパンの年間売上高は30兆ウォンを超えます。**歴代最大とされる課徴金が、売上高のわずか2%程度なのです。**SKテレコムは補償案と対策に1兆2,000億ウォンを投入したことを理由に、今年1月には課徴金取消訴訟まで起こしています。
コミュニティで「韓国人の個人情報はすでに公共財だ」とか「全部リセットすべきだ」といった話が冗談として出回っているのは、この地点です。この冗談の構造は的確です。流出が繰り返されると、すでに流出している情報に1件が加わることの限界費用がゼロに近いと感じられるようになります。この感覚を持つのは利用者だけではありません。事故コストを計算する側も同じ感覚を共有するようになり、その計算がログイン画面のデフォルト設定として跳ね返ってくるのです。
9月11日に施行された改正法は、この計算に手を入れようとする試みです。故意または重大な過失により3年以内に違反を繰り返した場合、あるいは1,000万人以上の大規模被害を出した場合は、全体売上高の最大10%まで課徴金を科すことができます。従来の上限は3%でした。反復違反への加重比率も最大80%まで引き上げられました。
逆方向の仕組みも同時に導入されました。事故前にセキュリティへ投資していた企業は、課徴金基準金額4を最大40%の範囲で減額してもらえます。個人情報保護委員会は判断基準を盛り込んだ「課徴金投資減軽制度案内書」も併せて公表しました。評価項目は3つです。予算・人員・設備・装置投資の規模と比率、その継続性と増加度合いが1つ目です。最高経営責任者と個人情報保護責任者（CPO）を含む保護体系の運用水準が2つ目です。法律上の義務を超える追加の安全措置が3つ目です。故意・重過失の場合は減軽されません。
ここで指摘しておきたいことがあります。3項目のうち前の2つは、いくら使ってどんな体制を整えたかを見るものです。**ログイン画面のデフォルト設定やアカウント復旧経路そのものを数える欄は、3つ目ただ1つだけです。**セキュリティ予算を増やせば、前の2つの欄は埋まります。クーパンが51.6%増やしたように。しかし、クレデンシャルスタッフィングを実際に防ぐ決定は3つ目の欄にあります。どちらの欄を埋める方が簡単かは明らかです。
残りの変更点も整理しておきます。流出が確定していなくても可能性が高ければ、判明日から72時間以内に通知しなければなりません。ランサムウェアによってデータが毀損された場合も通知対象です。年間売上高1,800億ウォン以上で、かつ100万人以上の個人情報を処理する企業は、CPOを指定・変更する際に取締役会の議決を経て個人情報保護委員会に届け出なければなりません。ただし附則により遡及適用はされないため、クーパンとSKテレコムの案件には適用されません。主要企業のISMS-P認証5の義務化は、準備期間を経て来年7月からとなります。
攻撃側のコストはすでに崩壊している
防御側のデフォルトが据え置かれている間に、攻撃側ではコスト構造そのものが変わりました。
JPモルガンの北米株式リサーチが9月15日に発表したセキュリティソフトウェアのレポートの要旨がここにあります。レポートは脆弱性が公開されてから実際に悪用されるまでの平均時間を、2018年は63日、2021年は32日、2023年は5日と追跡しています。そして2025年にはこの値がマイナスにまで落ち込んだと見ています。パッチが出る前に攻撃が先に行われるという意味です。この方向性は他の資料でも裏付けられています。脆弱性情報企業のVulnCheckは、2025年に悪用された脆弱性の32.1%が公開当日またはそれ以前に武器化されていたと集計しています。
コストの話はさらに直接的です。レポートによれば、オペレーティングシステム全体のセキュリティ上の欠陥を洗い出すのに50ドルもかからず、コンピューターを完全に乗っ取る攻撃を作るのに半日と1,000ドル未満で済みます。以前は同水準の攻撃が闇市場で50万〜200万ドルで取引されていました。500倍から1,000倍安くなった計算です。
実際の事例もあります。2025年9月、中国の国家が背後にいるとされる組織がClaude Codeを操作し、約30の機関を標的にしました。Anthropicの調査によれば、偵察から脆弱性の発見、資格情報の窃取、データの持ち出しまで、作戦の80〜90%をモデルが自律的に実行し、人間は侵入1件あたり4〜5か所でしか介入していませんでした。30か所のうち4か所で実際にデータ持ち出しが成功しています。
攻撃1件あたりの原価がここまで下がると、これまで規模が小さいという理由で標的にならなかったサービスまで標的になります。22万人規模のプラットフォームの相談履歴APIが2日連続で異なる経路から叩かれることが、まったく不思議ではない環境だということです。
Oswarldの視点
このリストを見ながらずっと引っかかるのは、セキュリティの重要性が伝わらないという点です。知らないわけではありません。聞けば誰でも知っています。それでも導入はしません。問題意識と実行のあいだには切れた場所があって、その場所はセキュリティ組織の中ではなく外にあります。
セキュリティ担当者が2段階認証をオンにしようと言うと、反対する側はハッカーではありません。会員登録の転換率とアクティブユーザー数を担当するチームです。そしてそのチームの指標は今期のうちに確認できますが、オンにしなかったことで生じる損失は数年後に別の名前で現れます。比較可能な二つの数字ではないので、議論はいつも同じ方向に終わります。予算会議で負けるのではなく、プロダクト会議で負けるのです。
二つ目は、認証を全部か無かで設計しないことです。すべてのログインに2段階認証を要求する代わりに、見慣れない機器や異常な接続パターンなど危険信号が検知されたときだけ追加認証を要求する段階的認証6があります。こうすれば離脱をめぐる議論の対象が全体ユーザーから一部に減ります。反対論そのものの規模を縮小する方法です。
三つ目は、玄関口を変える作業と復旧経路を点検する作業を同じプロジェクトにまとめることです。今の復旧画面が何の情報を求めているのか、その情報がすでにどこかで流出したリストに入っていないかを、まず確認すべきです。これは予算の問題ではなく、半日で済む点検です。
もう一つ注目していることがあります。9月11日から一定規模以上の企業は、CPOを交代させる際に取締役会の決議を経なければなりません。セキュリティ人事が取締役会の議案になるということは、セキュリティに関する議論が初めて取締役会の議事録に残るということでもあります。ログインの初期設定を誰がなぜ後回しにしたのかが、記録として残る通路ができたわけです。これが実際に機能するかどうかは、最初の事例が出てから分かります。
おわりに
読者の皆さん、今回の改正で変わったのは課徴金の上限だけではありません。セキュリティ投資が、初めて金額として戻ってくる項目になりました。ただ、その戻ってくる基準はおおむね「いくら使ったか」です。「何を有効にしたか」は、ようやく三番目の欄に入るだけです。
そのため、これから数年のあいだに二種類の会社に分かれていくはずです。減免要件を満たすために支出を増やす会社と、ログイン画面と復旧画面を一緒に直す会社です。公示に記載される数字は似たように見えるでしょう。違いは、次のリストに名前が挙がるかどうかに現れます。
💬 今使っているサービスのうち一つを選んで、アカウント復旧画面まで進んでみてください。何を尋ねられますか。その情報は、最近の流出リストに入っていませんか。
📨 ログインフローを設計している同僚や、登録コンバージョン率を担当している同僚がいれば、この記事を送ってあげてください。セキュリティ担当者よりも、その人こそが読むべき記事です。
参考資料と関連リンク
主要出典
- 韓国科学技術情報通信部・韓国インターネット振興院、「TVING侵害事故民官合同調査団調査結果」、2026年9月3日。······アカウント3,954万件と技術資産361件、そして暗号化キーが共に流出したという判断はここから出てきています。流出項目20個70種のリストをぜひ直接ご覧になることをお勧めします。
- 韓国の個人情報保護委員会、「クーパン個人情報流出・侵害事件制裁議決」、2026年6月11日。······課徴金算定において何が重大性要素とされたかが整理されています。6か月以上の未検知が核心です。
- 韓国の個人情報保護委員会、「改正個人情報保護法・施行令施行ブリーフィング」、2026年9月10日。······売上高10%特例の適用要件と投資減軽3項目を確認できます。併せて公表された「課徴金投資減軽制度案内書」も一緒にご覧になることをお勧めします。
- Ethan Hawksley、「I don’t like passkeys」およびHacker Newsでの議論、2026年9月15日。······今回の記事で引用したのは元記事ではなく、73件のコメント欄のほうです。賛否が分かれる論点を見れば、導入論争においてまず何を解くべきかが見えてきます。
- 韓国インターネット振興院、『2026年上半期国内サイバー脅威動向』、2026年7月30日。······侵害事故1,236件の類型別内訳があります。ランサムウェアと分散型サービス拒否攻撃が増加した部分が特に有用です。
- 韓国インターネット振興院 情報保護公示総合ポータル（https://isds.kisa.or.kr）······企業別の情報保護投資額と人員を直接照会できます。本文中のクーパン1,349億ウォン、サムスン電子4,121億ウォンの数字はここから得たものです。
- Anthropic、「Disrupting the first reported AI-orchestrated cyber espionage campaign」、2025年11月。······作戦の80〜90%がモデル単独で実行されたという根拠です。人間が介入した箇所がいくつあったかまで記載されています。
背景知識
- VulnCheck、「2025 Known Exploited Vulnerabilities Report」······悪用までにかかる時間がマイナス値まで下がったという主張の独立した根拠です。集計方法がJPモルガンの報告書と異なるため、数字も多少異なります。
- SKシールダス、「パスワードなしでログイン？パスキーのセキュリティ性と企業導入時の注意事項」、2026年3月。······パスキーを導入しようという結論だけの記事ではなく、レガシー環境で生じる実際の導入障壁が整理されています。
📝 用語解説
각주
-
連携情報（CI）: 住民登録番号の代わりに、複数のサービスで同一人物を識別するために作られた88桁の値です。サービスが異なっても、同一人物であれば同じ値が出てきます。本人確認手続きの基準点として使われるため、この値が氏名・生年月日・携帯電話番号と共に流出すると、なりすましの材料が揃ってしまいます。 ↩
-
クレデンシャルスタッフィング: あるサービスから流出したIDとパスワードの組み合わせを、別のサービスに自動で入力してみる攻撃です。同じパスワードを複数の場所で使い回す習慣を狙います。ハッキング技術は不要で、リストと自動化ツールさえあれば実行できるため、流出直後に真っ先に仕掛けられる攻撃です。 ↩
-
パスキー: パスワードの代わりに、端末に保存された秘密鍵と指紋・顔認証でログインする方式です。サーバー側にはパスワードではなく検証用の公開鍵のみが保存されるため、サーバーが侵害されてもログインに使える情報は流出しません。 ↩
-
課徴金基準金額: 最終的な課徴金ではなく、計算の出発点です。違反内容と被害規模を勘案して基準金額を定めた後、投資減軽と1次・2次調整を経て最終金額が算出されます。減軽40%はこの基準金額に適用されます。 ↩
-
ISMS-P認証: 情報保護と個人情報保護の管理体系を併せて審査する韓国国内の認証制度です。文書と手続きが整っているかを見る制度であって、認証を取得しているからといって実際の攻撃を防げたことを意味するわけではありません。 ↩
-
段階的認証: すべてのログインに追加認証を要求する代わりに、見慣れない端末や普段と異なる接続場所など、リスク信号が検知された場合にのみもう一段階の認証を要求する方式です。大多数の利用者は従来と同じ体験を維持できます。 ↩
あなたの視点が次の号をつくります
この号で最も共感した点、あるいは違う経験をした点はどこですか。