個人情報の流出というと、迷惑メール、不正ログイン、クレジットカードの悪用などを想像する方が多いかもしれません。
しかし海外では、盗まれた情報や私的な画像が、本人への脅迫や恐喝に悪用された事件も確認されています。氏名や住所、勤務先、家族の連絡先などが組み合わさると、被害は金銭面にとどまらず、本人の安全や日常生活にまで及ぶ可能性があります。
本記事では、公的機関が発表した海外の事件を紹介し、顧客・従業員情報を扱う事業者が今から確認したい対策を整理します。
海外事例1：盗んだ情報を使い、少なくとも75人を脅迫（米国・2015年）
2015年12月、米国司法省は、フィッシングなどで入手したパスワードを利用してオンラインアカウントに不正侵入し、私的な画像や個人情報を盗み出して脅迫した事件を公表しました。
発表によると、少なくとも200人の被害者が利用する450以上のアカウントに不正アクセスし、少なくとも75人に画像の公開などをほのめかし、追加の性的な画像・動画や個人情報を要求していました。金銭ではなく、性的な素材等を要求した脅迫の事例です。住所や勤務先、家族の連絡先も調べられ、実際に家族や友人へ画像が送られたケースもありました。
この事例が示すのは、盗まれた情報が本人を直接脅迫する手段になり得るということです。
海外事例2：画像の公開を盾にした組織的な恐喝（フィリピン・2014年）
2014年5月、国際刑事警察機構（INTERPOL）は、性的な画像を公開すると脅して金銭を要求する組織的な犯罪について、国際的な捜査で58人を逮捕したと公表しました。
捜査は国境を越えて行われ、複数の国で被害者が確認されています。画像などのプライバシー情報を悪用した恐喝が、組織的かつ国際的に行われ得ることを示した事例です。
企業が保管する情報にも二次被害のリスクがある
上の2件は2014年・2015年の事件であり、特定業種の店舗管理データベースからの流出事例として公表されたものではありません。ただし、企業や店舗が管理する個人情報も、漏えい後にほかの情報と照合されれば、詐欺や脅迫、ストーカー行為などに悪用されるおそれがあります。
ここからは、事業者が備えるための想定リスクの説明です。例えば、予約管理システムの氏名・連絡先・利用履歴が組み合わさった情報が流出した場合、利用先を本人の望まない相手に知られるなどのプライバシー侵害や、本人への脅迫につながるおそれがあります。サービスの利用や勤務先を他人に知られたくない人にとっては、生活や人間関係に深刻な影響が及ぶ可能性があります。
例えば次の情報には、取り扱い上の注意が必要です。
- 従業員の氏名、住所、電話番号、勤務先に関する情報
- 顧客の氏名、連絡先、予約・利用履歴
- アカウント情報、会員情報、問い合わせ履歴
- 本人確認書類の画像
- 外部システムへ連携・共有している情報
「漏れたら困る情報」を保存するだけでなく、なぜ保存するのか、誰が閲覧できるのか、いつまで保存するのかを把握することが大切です。
今から確認したい5つの対策
1. 保存情報を必要最小限にする
業務目的と保存期間を整理し、法令や業務上の必要性がなくなった情報は適切に削除します。
2. 閲覧権限を分離する
顧客や従業員の情報を、業務上必要な担当者だけが閲覧できるようにします。退職者のアカウントや不要な共有権限も見直します。
3. 管理画面を保護する
可能な範囲で多要素認証を有効にし、推測されにくい認証情報を利用します。ログイン履歴や操作履歴を確認できる体制も重要です。
4. Webシステムの更新・公開設定を確認する
CMS、プラグイン、PHPなどの更新状況、公開不要な管理機能やファイル、サーバー設定などを見直します。
5. 漏えい後の初動を決めておく
誰に連絡し、どのシステムを停止・隔離し、どう証拠を保全するかを事前に決めます。本人への通知、法令に基づく報告、被害者の二次被害防止についても準備します。
自社で確認したいセキュリティチェック
まずは、自分で確認できる範囲から、管理状況を整理してみましょう。管理権限がない項目は、権限のある担当者へ確認を依頼してください。
退職スタッフ・外部委託先のアカウント
退職や契約終了後も、不要なアカウントや共有権限が残っていませんか。
管理者の多要素認証（MFA）
パスワードに加え、認証アプリなどで本人を確認する設定を有効にしていますか。
顧客情報へのアクセス
業務上必要な人だけが、必要最小限の顧客情報を閲覧できる設定ですか。
不要な個人情報の保存
保存目的や保存期間を見直し、不要になった個人情報を残していませんか。
CMS・プラグイン・PHPの更新
WordPressなどのCMS、プラグイン、PHPの更新状況を把握していますか。
漏えいが疑われるときの初動
連絡先、停止・隔離の判断、証拠保全などの初動対応を決めていますか。
分からない項目は「未確認」として整理しましょう。必要に応じて、セキュリティ基本点検で確認できる範囲を相談することもできます。
情報漏えい対策は「人を守る」ための取り組み
漏えいは企業の信用や売上に影響するだけでなく、個人への脅迫や嫌がらせなどの危険にもつながり得ます。被害が起きてからではなく、情報の保存方法、権限、システム設定を普段から見直しておくことが重要です。
Webたすけのセキュリティ基本点検
Webたすけでは、事前に合意した範囲で、Webサイトの通常閲覧と機密を伏せた設定資料を中心に、非侵入型のセキュリティ基本点検を行っています。対象サイトと合意内容に応じて、公開状態、CMS・プラグイン・PHPなどの更新状況、アクセス制御・認証設定を確認し、改善を提案します。
管理画面や非公開設定の確認には、事前承認と適切な権限が必要です。無断アクセスや自動スキャンは行いません。
確認できた事実・未確認の項目・改善の優先順位をPDF報告書にまとめます。修正・改善支援は、作業可能な環境と対応可否を確認のうえ別途お見積もりします。
※対象範囲や実施条件は事前に確認します。点検はすべての脆弱性の検出や不正アクセスの完全な防止、安全性を保証するものではありません。漏えいの有無を断定するものでもありません。侵入テスト・フォレンジック調査は含みません。
参考資料
- 米国司法省（2015年12月9日）Former State Department Employee Pleads Guilty to Computer Hacking and Sexual Extortion of Women（外部サイト・英語）
- INTERPOL（2014年5月2日）INTERPOL-coordinated operation strikes back at ‘sextortion’ networks（外部サイト・英語）
※いずれも公的機関による発表を日本語で要約したもので、国内の特定事業者の情報漏えいを示す資料ではありません。