リサーチパネルエイジアの鈴木です。

弊社では中国と韓国でインターネットリサーチサイトの開発と運営をおこなっております。

海外向けwebサイトを開発する際に、海外ならではの 知らなくて困ったことがいくつかありました。

今回はそのなかの一つでもある、
韓国の「住民登録番号」について簡単に紹介したいと思います。

住民登録番号とは

　韓国の国民全員に個別に与えられている番号で、行政手続、銀行口座開設の際などに必要となっています。


住民登録番号のフォーマット

住民登録番号は１３桁の数字で表記されるもので、各桁には意味があります。

以下、wkipediaからの引用です。
住民登録番号は6つと7つの数字をハイフンでつなぎ、13個の数字を次のように表記する。
　yymmdd-snnnnmc
ここで、それぞれの数字は次のような意味がある。
・yymmdd 六数字は生年月日である。例えば 1987年 1月 19日に生まれた人は 870119の数字を持つ。
・sは性別を現わす。
　9: 1800～1899年生まれ男性
　0: 1800～1899年生まれ女性
　1: 1900～1999年生まれ男性
　2: 1900～1999年生まれ女性
　3: 2000～2099年生まれ男性
　4: 2000～2099年生まれ女性
　5: 1900～1999年外国生まれの男性
　6: 1900～1999年外国生まれの女性
　7: 2000～2099年外国生まれの男性
　8: 2000～2099年外国生まれの女性
・nnnnは出生地コード。邑・面・洞ごとに固有番号が行政自治部によって与えられる。
・mは一貫番号。その日に提出された出生届のうち何番目であったかを表す。
・cはチェックディジットである。


「住民登録番号」『フリー百科事典　ウィキペディア日本語版』より。
2011年10月31日 (月) 17:51 UTC
URL: http://ja.wikipedia.org/wiki/%E4%BD%8F%E6%B0%91%E7%99%BB%E9%8C%B2%E7%95%AA%E5%8F%B7
　このように番号自体に情報が埋め込まれており
  • 住民番号をみれば、だれにでもその人の生年月日と性別がわかってしまう。
  • 出生地コードの意味を知っている人には、その人の出生届が出された行政区もわかってしまう。
　といった特徴があります。

　※チェックデジットについて詳細は省略しますが、四則演算や剰余を組み合わせて算出できるような簡単なものです。


韓国サイトの会員登録で、住民登録番号が要求される件

韓国の一般のwebサイトやネトゲにおいても、よく住民登録番号の入力を要求されますが、背景には、以下のような事情があるようです。

  • インターネット本人確認制度
韓国ではいわゆる匿名掲示板が規制されており、一般ユーザーが自由に書き込める掲示板のようなwebサイトは　本人確認をおこなった人しか書き込めないように、運営者側に義務づけられています。
その本人確認の手段として、住民登録番号がよく使われています。
この制度の対象となるサイトはアクセス数が多いサイトに限られていますが、それ以外のサイトでも、将来的に対象となる可能性を考慮して取得しているところもあります。


要求される住民登録番号の入力チェック方法

  • 番号のフォーマットだけチェック
昔は　チェックデジットが合致していて、生年月日があり得ないものでなければ突破できるところがあったようです。
ネットで調べると、「住民番号生成ツール」のようなものが時々見つかりますが、この類のチェックをすり抜けるためのものでしょう。（未確認ですが　おそらく現在はまず通用しないと思います）

  • 裏側で信用機関に問い合わせる
政府認定の信用機関のサーバへ "氏名＋住民登録番号"をPOSTして、有効なものかどうか判定してもらいます。クレジットカードの決済業者への与信の仕組みに近いとおもいます。


どちらにしても、漏洩したデータを悪用されるのを防ぐことはむずかしいです。


去年あったこと

去年は大規模な個人情報漏洩(住民登録番号も含む)や法改正の施行がありました。


韓国で大規模情報漏えい。3500万人の個人情報が盗まれる  | トレンドマイクロ セキュリティ ブログ
http://blog.trendmicro.co.jp/archives/4426

韓国で大規模ハッキング、1320万人分の個人情報流出 | Reuters
http://jp.reuters.com/article/technologyNews/idJPJAPAN-24364220111128

韓国で9月30日に施行された「個人情報保護法」の中身 - INTERNET Watch
http://internet.watch.impress.co.jp/docs/column/security/20111006_481956.html


問題点

私は、住民登録番号を取り扱うことについて、以下の点で不安に感じています。

(1)webサイト側が住民登録番号を取得するのが標準のようになっている
  • インターネット実名制の規制
  • 会員登録時に住民登録番号を入力させるのがポピュラーになっている
  • 本人確認のための代替の方法があまり浸透していない

(2)漏洩した場合の影響が大きい
  • 住民登録番号と氏名のセットがあれば、多くの韓国webサイトで会員登録することが可能になる
  • webサイト以外でも広く使われている
  • 信用機関への問い合わせた結果validとなった住民登録番号と氏名のセットは、実在する人物であることがわかる
  • 住民登録番号の変更が原則不可能


新たな規制や罰則の強化、住民登録番号に替わる本人確認手段の整備など、対策はおこなわれていますが、以下のようなことが実現されないと、大きくは変わらないのではと思います。
  • ネット上で住民登録番号を取り扱うことの禁止（2015年を目処に進められているらしい）
  • インターネット実名制（本人確認制度）の廃止


まとめ
  • 番号からその人の生年月日と性別がわかる
  • ネット上で住民登録番号を要求する背景としてインターネット実名制がある
  • 昨年、大規模な情報漏えいがあった
  • 漏洩してしまうと、広い範囲で悪用されてしまう可能性がある
  • 今後ネットでは住民登録番号を取り扱わない方向に進んでいる


私は当初、「韓国のネットでは住民番号を入力させるのが常識らしい」くらいに捉えていましたが
調べれば調べるほど、安易に取り扱ってはいけないデータだと感じました。

また、住民登録番号周りの法規制の変更は、↓のように今後もありそうですので、注意していきたいと思います。

ネット上で住民登録番号の収集不可能に
http://www.chosunonline.com/site/data/html_dir/2012/02/17/2012021701465.html