NTT西日本子会社の928万件情報漏えいから学ぶ内部不正対策

インシデント事例

2023年の秋、「NTT西日本の子会社から約900万件の顧客情報が流出」というニュースを覚えている方も多いのではないでしょうか。

2023年10月、NTT西日本の子会社であるNTTビジネスソリューションズは、元派遣社員が顧客情報を不正に持ち出していたと公表しました。

外部からのサイバー攻撃ではなく、内部不正による情報漏えいです。

内部不正とは: 社員や派遣スタッフなど「会社の中の人」が、仕事で与えられた権限を悪用して、情報を持ち出したり書き換えたりすることです。

「大企業のグループ会社の話で、うちには関係ない」と感じるかもしれません。

この記事は、中小企業の経営者や、IT専門の担当者がいない会社の方に向けて書いています。

読み終わる頃には、この事件で何が起きたのか、なぜ約10年間も気づかれなかったのか、そして自分の会社で今日から何を確認すればよいかがわかります。

内容は、個人情報保護委員会や当事者企業の公表資料など、出どころを確認できる情報をもとにしています。

この事件を、数字で見るとこうなります。

NTT西日本子会社の情報漏えい被害を数字で見る

  • 漏えいした顧客情報は、判明分だけで 約928万人分
  • 持ち出しは2013年7月頃から2023年2月頃まで、約10年間 続いた
  • 影響を受けた委託元（コールセンター業務を頼んでいた企業や自治体）は 69（民間企業30社、独立行政法人1機関、地方公共団体38団体）
  • 持ち出したのは外部の攻撃者ではなく、システム保守を担当していた元派遣社員

NTT西日本子会社の情報漏えいで何が起きたのか

NTTビジネスソリューションズは、NTT西日本の100%子会社です。

同じグループのNTTマーケティングアクトProCXが多くの企業や自治体からコールセンター業務を請け負い、NTTビジネスソリューションズがそのシステムの保守運用を担当していました。

つまり、たくさんの会社の顧客名簿を「預かって」仕事をする立場でした。

その保守運用の現場に派遣されていた人物が、顧客データを保管するサーバから個人情報を持ち出し、第三者に流出させていました。

持ち出しは2013年7月頃に始まり、2023年2月頃まで続きます。

約10年間、誰にも止められませんでした。

しかも2022年4月には、委託元の1社から「自社の顧客情報が流出している可能性がある」と調査の依頼を受けています。

このとき両社は社内調査を行いましたが、漏えいの事実を見つけられず、「問題なし」と回答していました。

火災報知器が鳴ったのに、よく確かめずに「異常なし」と報告していたような状態です。

流出した情報に、クレジットカード情報や金融機関の口座情報、パスワードは含まれていません。

それでも氏名・住所・電話番号といった情報が大量に流出し、個人情報保護委員会は「名簿業者に売却された可能性が高い」と評価しています。

時系列で見る

時期 何が起きたか
2013年7月頃 元派遣社員による個人データの持ち出しが始まる
2022年4月 委託元から照会を受けて社内調査するも、「問題なし」と回答
2023年2月頃 持ち出しが終わる(約10年間続いた)
2023年10月17日 両社が公表(当初は約900万件・59クライアント。後に約928万件・69に更新)
2024年1月〜2月 個人情報保護委員会が勧告・指導、総務省がNTT西日本へ行政指導

2023年7月には警察がNTTビジネスソリューションズの拠点を捜査し、元派遣社員は2024年2月21日に起訴されています。

同じような事案の流れは、サイバー攻撃の事例一覧でも確認できます。

なぜ10年間も気づかれなかったのか(公表されている範囲)

持ち出したのは、顧客データを保管するサーバのすべてを見られる強い権限を持っていた、保守担当の元派遣社員です。

そして会社側には、持ち出しを技術的に止める仕組みと、記録を確認する運用の両方が欠けていました。

個人情報保護委員会が2024年1月24日の勧告で認定した内容です。

具体的には、次のような状態でした。

  • 全委託元の顧客リストを見たりダウンロードしたりできるシステム管理者アカウントが、保守担当者4人に付与されていた
  • そのアカウントは個人ごとではなく、4人で共用だった
  • 保守業務でUSBメモリを使う運用があったのに、許可された記録媒体以外の使用を技術的に止める仕組みがなかった

システム管理者アカウントとは: システムの中のデータをすべて見たり取り出したりできる、特別に強い権限を持つ利用者IDのことです。

金庫にたとえると、いちばん強いカギを4人で1本だけ使い回していて、誰がいつ開けたのか分からない状態でした。

しかも荷物を持って出る出口に、チェックの仕組みがありませんでした。

規程のうえでは、派遣社員にもNTT西日本グループの管理ルールを守る義務がありました。

しかし、それを裏付ける技術的な対策が伴っていなかった、というのが公表資料から見える構図です。

ルールがあることと、ルールを破れないことは、別の問題です。

どれくらいの被害が出たのか

漏えいした顧客情報は、判明分だけで約928万人分です。

2023年10月の初報では約900万件・59クライアントとされていましたが、追加調査で更新されました。

影響を受けた委託元は計69にのぼります。

  • 民間企業: 30社
  • 独立行政法人: 1機関
  • 地方公共団体: 38団体

コールセンターを委託していた企業や自治体の顧客・住民の情報が、まとめて流出した形です。

このうちNTT西日本自身の顧客情報は約120万件で、これは928万人分の中に含まれます(氏名・住所・電話番号・一部生年月日)。

クレジットカード情報、金融機関の口座情報、パスワードは含まれていません。

ただし個人情報保護委員会は、流出したデータが名簿業者に売却された可能性が高いとしたうえで、購入履歴や住んでいる自治体から年齢・性別・行動範囲・経済状況などを推測され、悪用されるおそれを指摘しています。

NTT西日本グループの対応から学べること

この事件では、行政と第三者がはっきりした評価を出しています。

個人情報保護委員会(2024年1月24日) は、両社の組織的な安全管理措置に不備があったとして勧告を行いました。

とくに、2022年の社内調査が機能しなかった経緯を勧告時点でも明らかにできていないことを問題視しています。

総務省(2024年2月9日) はNTT西日本に行政指導を行いました。

グループ会社に顧客データを預けているという認識が足りず、預け先の監督が不十分だったという指摘です。

外部弁護士だけで構成された検証チームは、2022年の社内調査を「『調査』には似ても似つかない『作業』しか実施しておらず、事なかれ主義的な対応が繰り返され、一部は虚偽回答がなされるなど、極めて杜撰なものであった」と総括しました。

NTT西日本グループはその後、約100億円規模の予算と約100名規模の推進組織を割り当て、USBメモリの廃止、アカウントの個人単位化、ログ監視の強化などの再発防止策を公表しています。

グループの緊急点検では、運用責任者の約2割が「内部者による不正流出は起こり得ない」と考えていたことも明らかになりました。

この事件から学べることを、3つに絞ります。

  • 内部不正は「起こり得る」前提で仕組みを作る。人を信じることと、記録を確認しないことは別
  • アカウントは個人単位にし、データの持ち出し口は技術的に塞ぐ。ルールだけでは守れない
  • 「情報が漏れているかも」という連絡を受けたときの調査手順が、もう一つの防衛線になる

自分の会社を守るために、今できること

この事件の教訓は、顧客情報を扱うすべての会社に当てはまります。

規模の大小は関係ありません。

今日の3問

保守会社やIT担当者に、次の3点を聞いてください。

  • 顧客情報を見られる管理者アカウントは、1人ずつ別々のIDになっているか(共用していないか)
  • USBメモリなどの記録媒体は、会社が許可したもの以外は使えない設定になっているか
  • 「誰がいつデータを取り出したか」の記録(ログ)を定期的に人が確認しているか。確認した記録を見せてもらえるか

答えられない項目が1つでもあれば、今週中に保守会社へ点検を依頼してください。

少し余裕ができたら、次の5項目も確認しておくと安心です。

  • 退職した人や契約が終わった人のアカウントを、すぐ止める手順になっているか
  • 派遣スタッフや委託先の担当者にも、自社と同じ管理ルールが実際に効いているか
  • 顧客データを扱える人の数を、業務に必要な最小限に絞れているか
  • 「情報が漏れているかもしれない」と連絡を受けたときに、誰がどう調べるか決まっているか
  • 社外から社内システムへのアクセスを、必要な人・必要な範囲に限定できているか

自分でまず状況を把握したい方は、無料のセキュリティチェックから始められます。

専門家による点検の費用感は脆弱性診断の費用の目安で確認できます。

参考にすべき一次情報・公的資料

まず読むならこの1本:

さらに詳しく:

関連記事

同じテーマを深掘りしやすい記事を優先して表示しています。