韓国のクレジットカード会社で、オンライン決済のサーバーに侵入され、会員約297万人の情報が漏洩

何が起きたか

この事故で流出した、または流出したおそれがある情報は、会員約297万人の個人情報とカード情報。約28万人はカード番号、CVC、住民登録番号。残る約269万人は一部が暗号化されたカード情報です。その後の対応と影響は、社長が記者会見で謝罪し、被害の全額補償を約束した。対象者全員に通知し、約28万人には再発行を電話で勧めた。24時間の窓口を設け、マルウェアの削除と攻撃元の遮断をした。会社は不正利用は確認されていないとした。金融当局は厳しく処分する方針を示したです。

原因になったのは「オンライン決済サーバーへの侵入とマルウェアの設置」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

会社は2025年8月14日に始まった侵入に8月31日まで気づかず、翌9月1日に当局へ届け出たと報道された。当初の届け出は1.7ギガバイトだったが、当局との調査で200ギガバイトと分かった。侵入に使われた弱点の詳細は公表されていない。

原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。

事故が起きてから公表されるまで

1. 2025年8月14日、攻撃者がオンライン決済のサーバーに侵入した
2. 8月31日に会社が侵入に気づき、9月1日に金融監督院へ届け出た
3. 9月2日、金融監督院が立ち入り検査を始めた
4. 9月18日、会社が約297万人の流出を発表し、社長が謝罪した

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

外部に開いた決済サーバーの弱点を定期的に直し、サーバー上の不審なファイルや大量の持ち出しを見張る仕組みがあれば、侵入に早く気づけた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. インターネットに開いた決済・会員系のサーバーと、そのソフトの更新状況を一覧にする
2. サーバーから外部への大量の送信を検知して通知する設定があるかを確認する
3. 業務に要らない個人情報（住民番号やCVCなど）を保管していないかを確かめる

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• Lotte Card launches around-the-clock customer hotline following cyber breach（The Korea Times）2025.09.03
• Lotte Card confirms data breach affecting nearly three million customers（Korea JoongAng Daily）2025.09.18
• Lotte Card hack exposes 2.97 million customers（The Kyunghyang Shinmun）2025.09.19