■今日の事例　：標的型メール攻撃による情報漏えい

Ｃ部署は、受託業務の一環でＰ社の顧客の個人情報をエクセル形式のデータで預かり、自社のサーバーに保管していた。当エクセルファイルにはPWはつけておらず、暗号化もしていなかった。

受託契約上では、「情報は１ヶ月保管し、その後消去すること」になっていたが、Ｃ部署としては、１ヶ月以降にも問合せが入る可能性を考えて、運用の観点からＰ社には言わずに念のため１年保管としていた。

ある日、Ｃ部署の社員Ａが、ゴルフコンペの案内メールを受信した。メールの送り主の名前に心当たりがなかったが、ゴルフ好きの社員Ａは、深く考えることなく当メールの添付ファイルを開いてしまった。

このメールは標的型メールであった為、社員Ａの端末がウィルスに感染し、端末が乗っ取られ、Ｃ部署のサーバーに保管されていたＰ社の顧客の個人情報が搾取された。

契約通りの１ヶ月分であれば、1000件程度であったが、実際には1年分保管していた為、1万件を超える個人情報が流出してしまった。

 

 

■考察　：何がいけなかったのか考えてみましょう！

「今日の事例」は最近流行っている「標的型メール攻撃」をきっかにした情報流出です。

標的型メール攻撃は、企業規模に限らず全ての企業を対象にバラマキ型のメールが送られてきます。最近ではメールの内容も高度化していて、業務に関連しそうなもの、興味をそそるもの、など、ついつい開いてしまうような内容になっています。

 

ここで今回事例の「リスクポイント（リスクが発生するポイント）」について考えてみましょう。

 

個人情報がそのまま保管されていたこと

• ・機密性の高い情報はPWをかけるか暗号化することにより、情報が流出しても即中身が閲覧されることがないように備えておきましょう

 

保管期間を勝手に延長していたこと

• ・情報セキュリティの観点では、「情報はできるだけ保持しない」ということが大原則で、特に機密性の高い情報は不要になった時点で即廃棄することが必要です。

 

標的型メール攻撃への対応策不足

• ・標的型メール攻撃に備えて、入口対策（受信メールチェック等）や端末対策（ウィルス検知）などの防御をしておきましょう。
• ・また、メールを開かない為の研修や訓練をすることも、とても重要です。標的型メール攻撃はシステムだけでは守り切れないのです

 

 

■対処　：流出事故向けた対応

標的型メール攻撃をいつ受けるか分かりません。上記のリスクポイントを踏まえて、情報流出事故が発生する可能性を少しでも少なくする方法を考えてみて下さい。

 

 

■結果　：流出事故によって発生すること

今回の事例で個人情報が流出したことにより発生する結果は何でしょうか？

影響として一番大きいことは「Ｐ社の個人情報が流出した」ことです。結果の可能性として考えられることは以下の３点です。

 

個人情報の対象顧客からのクレーム

• ・情報が漏えいしたことに関し、１万人規模のクレームを受ける体制を作る必要があります
• ・クレームへの対応コストがかかり、被害によっては損害賠償を請求される可能性があります

 

Ｐ社との関係の悪化（信用の失墜）

• ・受託先であるP社への信頼は失われ、契約関係に影響が出る可能性があります

 

Ｐ社との契約違反～損害賠償

• ・勝手に1年保管としていたことに関しては契約違反にあたります。この契約違反によって、千件規模の個人情報流出事故であったものが、１万件規模に増大した為、P社から損害賠償が請求される可能性があります。

 

今回の事例のように、情報の保管期間を本来必要な期間よりもつい延長してしまうことは良くあることかと思います。

しかし、その保管期間が延長されていることによって、保管している情報量が増え、結果として大量の情報流出に繋がってしまいます。

情報セキュリティの観点では、情報の保管期間は必要最小限に留める、ということに常に留意しておきましょう。