2026年7月、韓国政府が運営を支援するスタートアップ支援プラットフォーム「모두의창업(モドゥイ・チャンオプ)」で情報漏えいが発生しました。この事案では後に、暗号鍵の管理に重大な不備があったことが判明しています。組織が暗号鍵を適切に保護しなければ、暗号化されたデータであっても外部に流出しかねないことを示す事例となりました。
同プラットフォームは、韓国中小벤처企業部(MSS、中小ベンチャー企業部)が統括する全国規模のスタートアップオーディション事業を支えており、参加者の個人情報を保管しています。これにはスタートアップのアイデア、メールアドレス、氏名などが含まれます。
今回報じられた情報漏えいの1カ月前には、すでに応募者の個人情報がプラットフォーム内のAPIレスポンスを通じて構造化・露出する可能性があるとの懸念が指摘されていました。政府は直ちに対応を取ったとしていますが、プラットフォームの基盤となるセキュリティアーキテクチャを改善したかどうかについては明らかにしていません。
6月18日、中小ベンチャー企業部は個人情報とスタートアップのアイデアの概要が流出したと発表しました。その後、国家情報院、サイバーセキュリティセンター、警察庁と共同で詳細な調査に乗り出しています。
7月31日、当局は個人情報とスタートアップアイデアの漏えいの決定的な原因が、APIを通じた暗号鍵の露出であったことを確認しました。
情報漏えいはどのように発生したのか
流出したデータはすでに暗号化されていました。しかし、暗号化されたデータを復号するには暗号鍵が必要です。
今回の事案では、暗号鍵がAPIデータとともに露出してしまい、その結果、合格者約5,000人分のメールアドレス、評価コメント、スタートアップアイデアの概要が漏えいしました。
中小ベンチャー企業部の説明によると、暗号鍵はAPI内に含まれる形で存在していました。同部によれば、外部の第三者がウェブクローリングなどの手法でAPIデータを収集し、これが鍵の露出につながったとしています。
特に、非公開に設定されていたはずのメールアドレスは、公開インターフェース上では表示されない仕様でした。それにもかかわらず、調査当局はAIを活用したウェブクローリングによってこれらの情報が取得可能であったと結論付けています。
今回の事案は、暗号鍵をアプリケーションのコードや設定ファイル、データベースといった環境内に固定値としてハードコーディングすることのリスクも浮き彫りにしています。
このような方法を採用すると、鍵そのものが、本来保護すべきシステムやデータと一緒に露出してしまう可能性があります。つまり、今回の事案の根本原因は、適切な暗号鍵管理を組み込んでいないセキュリティアーキテクチャにあったと言えます。
当局は、流出情報へのアクセスに関与した39件のIPアドレスを特定しており、いずれも韓国国内を発信元とするものでした。また、AIソリューション提供事業者との関連の可能性も含め、詳細についての調査を継続しているとしています。
今回のように暗号鍵が外部に露出した場合、侵害された鍵を失効させて新しい鍵を発行するだけでは不十分です。組織は、侵害された鍵で保護されていた既存データすべてを再暗号化し、鍵のアクセスログを分析して被害範囲の全容を把握する必要があります。
さらに、API、サーバー、社内のストレージシステム全体にわたるアクセス権限の再評価も求められます。加えて、影響を受けたデータ主体への通知や、継続的な監視体制の構築も必要です。
暗号鍵が一度侵害されると、組織はセキュリティアーキテクチャの再設計に多大な時間とリソースを投じなければならない場合があります。
暗号鍵管理が重要な理由
今回の韓国政府系スタートアップ支援プラットフォームの情報漏えいが示すように、組織が暗号鍵とその鍵が保護するデータを分離していなければ、暗号化そのものにはほとんど実質的な防御効果がありません。安全な暗号鍵管理がなければ、暗号化された情報も結局は露出したままとなります。
暗号鍵が侵害されると、攻撃者はシステム内のデータにリアルタイムでアクセスできるようになる可能性があります。さらに、正規ユーザーになりすまし、システムの制御権を奪うことも考えられます。データ暗号化の実効性は、鍵管理のセキュリティに直接左右されるのです。
暗号化に真の防御効果を持たせるためには、組織はデータベースやアプリケーションから物理的または論理的に分離された専用の鍵管理システム(KMS)に暗号鍵を保管すべきです。
アプリケーション側は、保護対象のデータを読み取ったり処理したりする必要があるときにのみ、KMSに対して鍵へのアクセスを要求すべきであり、鍵そのものを自ら保持すべきではありません。
暗号化は、GDPR、サイバーレジリエンス法(CRA)、HIPAAといった規制要件を満たす上でも不可欠です。しかし、鍵管理が不十分であれば、鍵が侵害された直後に暗号化データが復号されてしまう恐れがあり、これは暗号化そのものの実効性を損なうだけでなく、組織が本来求められる水準のコンプライアンスを達成することも妨げてしまいます。
したがって、グローバルなセキュリティおよびコンプライアンス要件を満たそうとする組織は、暗号化と暗号鍵管理の両分野で豊富な専門知識を持つPenta Securityのような専門ベンダーのサイバーセキュリティソリューションの導入を検討すべきでしょう。
D.AMO鍵管理:30年にわたり実証されてきた保護力
Penta SecurityのPenta Security’s data security platformであるD.AMOは、暗号化によるデータ保護に加え、安全な鍵管理とアクセス制御を提供する製品で、約30年にわたるサイバーセキュリティの専門知見に裏打ちされています。D.AMOは、オンプレミス環境とクラウド環境の両方を含む組織のインフラ全体にわたり、暗号化、アクセス制御、バックアップ、復旧の各機能を統合的に提供します。
Penta SecurityのData Security Platformは、金融、政府機関、民間企業など各業界の1万社を超える顧客に導入されています。この豊富な導入実績と技術的な専門知識が、同プラットフォームの信頼性を裏付けています。
さらに、D.AMOは鍵管理にNIST標準化済みのpost-quantum cryptography (PQC) アルゴリズムを適用することが可能で、組織が量子コンピューティング時代に備えたデータセキュリティアーキテクチャを構築する支援を行います。
D.AMO鍵管理システム(D.AMO KMS)は、暗号化・復号に用いる鍵を、それが保護するデータから物理的にも論理的にも分離して管理します。
さらに、鍵のライフサイクル全体を管理し、ログの整合性チェックも実行するため、セキュリティインシデントが発生した際に組織が鍵に関わる活動を迅速に調査できるようになります。
もし韓国政府のスタートアップ支援プラットフォームにD.AMOが導入されていたなら、暗号鍵管理の不備に起因する今回の情報漏えいは防げていた可能性があります。
企業や公共機関は、データセキュリティに対するアプローチを「事後対応」から「事前予防」へと転換する必要があります。何よりもまず、強固な暗号化と、安全かつ一元化された暗号鍵管理の両方によって機密データを保護することが求められます。
