クーパンが顧客３３７０万人分の個人情報流出をめぐる「独自調査」の結果を２５日に一方的に発表し、議論が広がるなか、クーパンは２６日、追加資料を出し、「クーパンの調査は『自己調査』ではなく、政府の指示に従い、数週間にわたって緊密に協力して行われた調査だった」と主張した。独自調査の結果発表について、科学技術情報通信部が「確認されていない」として抗議すると、クーパンは同日、再反論資料を公表した。ただし、流出規模や実際に保存されていたデータの範囲をめぐる疑問は、依然として残っている。
●クーパン「政府と緊密に協力した調査」
この日、クーパンは説明資料で「クーパンの調査は『自己調査』ではなかった」とし、「政府の指示に従い、数週間にわたり毎日、政府と緊密に協力して進めた調査だった」と説明した。さらに、「政府の監督なしに独自で調査を行ったとの誤った主張が続き、不要な不安が生じている」として、「今回のデータ流出事件が国民に大きな懸念を与えたことを踏まえ、政府との連携過程に関する事実を明確にしたい」と付け加えた。
クーパンによると、今月１日に政府と会って協力を約束し、翌２日に政府から流出事故に関する公式文書を受け取った。９日には政府が流出者と直接接触するよう提案し、１４日に初めて流出者と面会、その事実を政府に報告したという。１６日には政府の指示に従い、情報流出者のデスクトップとハードディスクを回収して政府に提出し、１８日には河川に捨てられていたノートパソコンを回収して提出したと説明した。クーパンは、中国の河川で潜水士がノートパソコンを引き揚げる場面を収めた映像や、引き揚げ後に確保したノートパソコンとエコバッグを撮影した証拠写真も公開した。
ただし、調査を指示した政府の主体がどこなのかについては明らかにしなかった。警察はクーパンの発表後、直ちに見解を出し、「クーパンが流出者と接触するよう提案し、ハードディスク回収を指示した『政府』は、警察とは無関係だ」との立場を示した。
●なぜ約３０００件だけが流出したのか
クーパンの２度目の説明後も、前日に発表された調査結果については疑問が残る。特に、流出規模と実際に保存されていたデータの範囲に関する説明が十分ではないとの指摘が出ている。高麗（コリョ）大学情報保護大学院のイ・サンジン教授は、「５カ月という長期間にわたり、複数回にわたって３０００万人を超える会員情報にアクセスしようとしながら、実際に保存したデータが３０００人分にとどまるというのは、論理的に納得しがたい」と指摘した。さらに、「クーパンが政府に提出したというハードディスクで、どのような試みが行われ、どのような記録が残っていたのかについて、まったく言及されていない」と述べた。
犯行に使用された機器を確保したからといって、流出したデータまですべて回収されたと断定することはできないとの指摘もある。クラウドストレージや外部保存領域を利用した可能性、追加の機器を通じてデータが移転された可能性が残るため、「機器の回収」と「データの回収」を同一視すべきではないという見方だ。東国（トングク）大国際情報保護大学院のファン・ソクジン教授は、「クーパンは流出者が証拠物を自発的に提出したと説明しているが、令状によってすべての関連資料を確保したわけではなく、任意提出にとどまっているため、ＵＳＢなどの外部保存装置にデータが持ち出された可能性を排除できない」と述べた。
また、調査を担当したマンディアント、パロアルトネットワークス、アーンスト・アンド・ヤングの３社について、調査を依頼した主体がクーパンである点から、調査結果の信頼性を問う声もある。フォレンジック分析が、クーパン側が提供した供述書と特定の機器に限定された範囲で行われた場合、結論も「提供された機器内では追加流出の痕跡は確認されなかった」という限定的なものにとどまらざるを得ないとの指摘だ。
ソウル警察庁サイバー捜査課は、クーパンが中国現地で確保したとして２１日に任意提出した流出者のノートパソコンの分析に捜査力を集中している。警察は、提出されたノートパソコンが実際に犯行に使用されたものか、データが改ざんされていないかを精査する方針だ。クーパンが専門業者に依頼して独自にフォレンジックを行い、会員３０００人分の情報のみが保存されていたと確認したとの主張についても検証している。さらに、警察はクーパンのサーバーログを直接分析した結果とクーパン側の主張を照合するとともに、提出されたノートパソコン以外に第三の保存装置やクラウド転送の痕跡がないかを調べている。
About Dong-A Ilbo