本物の補償があるから、偽の補償メッセージも通る——韓国TVINGの個人情報流出で利用者がやること

科技情通部の発表では、流出したアカウントにはログインできる有効アカウント約2,206万だけでなく、休眠アカウント約850万、退会アカウント約887万が含まれます。加入経路もTVING独自の会員登録、CJ ONE統合会員、NAVER・Kakaoなどのソーシャルログインがすべて含まれます。「昔少し使っただけ」「もう退会した」という人も対象になり得るので、以下をそのまま進めてください。

科技情通部と韓国インターネット振興院（KISA）は6月3日の国民向けセキュリティ告知で、「被害補償」「被害事実の照会」「返金」「緊急アプリ更新」といった文言でリンクのクリックやアプリのインストールに誘導するスミッシング、補償案内を装うボイスフィッシング、検索結果や広告に出てくるフィッシングサイトへの注意を呼びかけました。補償や流出の有無は、SMSのリンクではなく、もともと入れてあるTVINGアプリか、自分でアドレスを入力したTVINGのサイトで確認します。政府機関や金融機関が電話やSMSで遠隔操作アプリのインストールを求めることはないとも明記されています（見分け方の基本は フィッシングとは）。

調査団は、パスワードが一方向暗号化された状態で流出し、平文に復号できないと確認しています。それでもTVINGと同じIDとパスワードの組み合わせを他のサービスで使っているなら、そちらが先です。TVINGのパスワードも変え、NAVER・Kakaoなどのソーシャルログインでつないでいる場合は、そのサービスの2段階認証を有効にします。サービスごとに別のパスワードにする現実的な方法は パスワードマネージャーの選び方、2段階認証の選び方は 多要素認証の選び方 にまとめています。

CI・DI・生年月日・携帯電話番号は変えられません。韓国では、放送通信委員会と韓国情報通信振興協会（KAIT）が運営する名義盗用防止サービス「エムセイファー」（msafer.or.kr）で、自分の名義で携帯電話などが新規契約されたときに通知を受けたり、携帯電話の新規加入そのものを制限したりできます。身分証の画像まで流出したわけではないので必須ではありませんが、不安なら金融監督院の「ファイン」（fine.fss.or.kr）での個人情報露出者登録も選択肢です（登録すると自分の金融取引の本人確認が厳しくなることがあります）。

科技情通部の告知では、リンクからアプリを入れてしまった場合、モバイル向けのウイルス対策アプリで検査し、不正なアプリが見つかったら機内モードにして他人の電話から警察（112）に通報するよう案内しています。あわせて通信会社でモバイル少額決済の履歴を確認し、自分の番号がSMSの再送信に悪用されないよう通信会社の「番号盗用SMS遮断サービス」（無料）を申し込みます。端末の点検方法は スマホのセキュリティ基本 を参照してください。

調査団は「ソースコードへの直書き」と「環境変数への平文保存」を問題点に挙げました。まず現在のリポジトリと過去のコミット履歴すべてを秘密情報の検出ツールで1回走査し、見つかったキーは削除ではなく無効化・再発行します（履歴に残ったキーは、消しても有効なままです）。そのうえで、コミット前に自動で止める仕組みを入れます。手順は gitleaksでコミット前に秘密情報を検出する にあります。

全員に全リポジトリの権限を与える設定は楽ですが、キーが1本漏れると全部が出ていきます。リポジトリの権限をチーム単位に分け、本番の鍵を扱うリポジトリはさらに狭いグループだけが見られるようにします。自前のGitとGitHubの権限モデルの違いは 自前Git vs GitHubのセキュリティ で扱っています。

調査団の発表では、1回目の流出の試みはDBのCPU急上昇の通知で見つかりましたが、2回目の大量流出のときはその通知が鳴りませんでした。負荷の指標は性能問題を見つける道具で、情報の持ち出しを見つける道具ではありません。最初の1本は「ふだんより多くの行を一度に読んだDBアカウント」か、「新しく作られたサーバーや新しいキーが大量のデータを外に送った」ことへの通知です。クラウドの監査ログで、リソース作成のイベントに通知をかけるところから始められます。