韓電職員2万4千人余りの氏名、所属、社員番号、携帯電話番号、社内電話番号、メールアドレス、役職など、7項目が外部ウェブサイトに掲載された。 韓電は10月1日午後3時59分ごろにこれを認識し、情報がウェブサイトから削除されたのは10月3日に日付が変わる午前0時ごろと報じられており、認識から約32時間かかった。流出の原因や実際に二次被害があったかどうかは、まだ確認されていない。

背景と経緯

今回掲載された情報は、住民登録番号のような固有識別情報やセンシティブ情報ではなく、職員の身元や所属、業務上の連絡につながる情報だ。韓電は、別の専用システムで管理している顧客情報も流出していないと説明した。これは流出の範囲を把握するうえで重要な事実だが、職員情報が外部に公開された事故そのものを小さくするものではない。

韓電は流出を認識した後、職員の個人情報に関する内部システムへのアクセスを遮断し、外部ウェブサイトの運営会社に情報の削除を要請したと明らかにした。ただし、削除が完了するまで約32時間かかった。

韓電は10月4日午後1時22分ごろ、個人情報保護委員会（개인정보보호위원회）に関連事実を報告し、非常対応総合状況室を設置した。関係機関とともに正確な流出経緯を調査中だと明らかにしたが、現在明らかになっている内容だけでは、どのような経路で情報が外部ウェブサイトに掲載されたのかは分からない。韓電は職員に対し、ショートメッセージやメールなどで事故の事実と経緯を個別に通知し、二次被害を防ぐための注意事項も案内した。

このニュースが意味すること

この事故の直接的な影響を受ける範囲にいるのは、実質的に韓電の全職員に当たる2万4千人余りだ。住民登録番号や顧客情報は流出していないという韓電の説明は、被害の範囲を考える際に考慮すべき要素だ。しかし、氏名・所属・社員番号・電話番号・メールアドレスが一緒に流出すれば、特定の職員を見分けて連絡するために利用される可能性がある。そのため、当事者は予期しない連絡やなりすましの試みに注意する必要がある。これは起こり得るリスクについての見解であり、そうした被害が実際に発生したという意味ではない。

例えば、韓電職員が社内業務に関する連絡のように見える連絡を受け、追加情報や確認を求められた場合、流出事故後の状況に便乗したなりすましではないかと警戒できる。ただし、今回の事故で実際にフィッシングやなりすましの被害が発生した事実は確認されていない。韓電は被害防止のための注意事項を個別に案内したと明らかにしているため、通知を受け取った職員は案内を確認し、疑わしい連絡があった場合は、軽率に応答したり情報を提供したりしないほうが安全だ。

事故対応の評価は、情報が削除されたという結果だけでなく、流出の経緯が明らかになったか、実際の被害が確認されたか、被害が発生した際に救済が行われるかにも左右される。韓電は、関係機関との合同調査と独自調査を通じて原因を把握し、再発防止策をまとめるとした。また、被害が発生した、あるいは発生が予想されるとして申告があった場合、必要な調査を経て損害賠償などの救済手続きを進める予定だと明らかにした。これは救済がすでに確定したという意味ではなく、申告と調査を行うという計画だ。

関連制度・支援情報

韓電は、被害が発生した、あるいは発生が予想される場合に申告があれば、必要な調査を経て損害賠償などの救済手続きを進める予定だと明らかにした。ただし、個人情報が流出しただけで賠償の有無や金額が自動的に決まるわけではない。大韓法律救助公団（법률구조공단）の相談事例に基づく資料によると、損害賠償額は損害の種類や発生経緯、被害者の過失、合意内容、保険金・給与の受給の有無などを考慮して算定する。この資料は一般的な損害賠償の原則を説明するもので、今回の事故で個人ごとの賠償責任や金額を確定するものではない。

そのため、実際に被害が発生したと判断する職員は、流出に関する通知や関連する連絡、発生した損害を示す資料を保管したうえで、韓電にどのような申告手続きや資料が必要か確認できる。合意を検討する場合は、合意書の範囲も確認する必要がある。一般に、合意によってその後の追加請求が制限されることがある一方、合意時に予測が難しかった重大な後発損害であれば、追加請求が可能な場合もあると資料は説明している。具体的に適用されるかどうかや消滅時効などは、損害の内容や知った時期によって異なる可能性があるため、一律に断定することはできない。

報道によって異なる点

情報の削除時点についての表現は、報道によって異なる。ある報道は10月3日に日付が変わる午前0時ごろに削除されたと伝え、別の英語報道は金曜日の午前0時ごろに削除が完了したと記している。2つの表現が同じ時刻を異なる形で示しているのか、実際に時点に差があるのかは、明らかになっている内容だけでは確認しにくい。約32時間かかったという説明は、韓国語の報道で示されている。

確認された事実と、まだ分からないこと

確認された事実

  • 韓電は10月1日午後3時59分ごろ、外部ウェブサイトに職員の個人情報が掲載されたことを認識した。
  • 流出した項目は氏名、所属、社員番号、携帯電話番号、社内電話番号、メールアドレス、役職など7項目で、対象者は2万4千人余りだ。
  • 韓電は、固有識別情報・センシティブ情報と、別の専用システムにある顧客情報は流出していないと説明した。
  • 韓電は内部システムへのアクセスを遮断し、削除を要請した。また、10月4日に個人情報保護委員会に報告し、非常対応総合状況室を設置した。
  • 韓電は職員に個別通知を行い、被害の申告があれば調査後に救済手続きを進める予定だと明らかにした。

まだ分からないこと

  • 職員情報が外部ウェブサイトに掲載された具体的な経緯と原因は何か。
  • 今回の流出によって、実際に二次被害が発生したのか。
  • 被害があったとすれば、その種類と規模はどの程度で、調査や救済はどのように行われるのか。

読者が確認すべきこと

  • 韓電職員は、ショートメッセージやメールで届いた個別通知と二次被害防止の案内を確認し、疑わしい連絡に対して個人情報や追加情報を提供しないよう注意できる。
  • 実際に被害が発生した、あるいは発生が予想される場合は、関連する連絡や損害を確認できる資料を保管したうえで、韓電に申告手続きや必要な資料を問い合わせることができる。通知に特定の申告方法が記載されていると断定することはできない。
  • 損害賠償や合意を検討する場合は、損害に関する資料と合意書の内容を確認し、個別の判断が必要な論点については法律相談を通じて確認できる。

参考資料