情報漏えいのニュースでは、まず人数に目が吸い寄せられます。1200万人超。日本の人口のざっくり1割ですから、数字の圧はかなり強い。でも、そこで「大変な人数だ」で止まると、今回新しく起きたことを取り逃がします。漏えい自体は6月に公表済みで、8月19日に進んだのは、監督する側がKDDIへ期限つきで説明を求める段階です。
FNNプライムオンラインは8月20日朝、個人情報保護委員会がKDDIを行政指導し、二次被害の発生状況を含む再発防止策の実施状況を10月19日までに報告するよう求めたと伝えました。今回の本題は「何万人なら大事件か」ではありません。会社が「直しました」と言うだけでなく、対策が続き、被害が広がっていないと何で証明するのかです。
KDDIの個人情報漏えい問題で、政府の個人情報保護委員会がKDDIを行政指導しました。KDDIは、提供するメールシステムが不正アクセスを受け、利用者の個人情報が漏えいしたことを6月に公表しました。これについて個人情報保護委員会は19日、個人情報保護法に基づいてKDDIを行政指導したと発表し、二次被害の発生状況を含む再発防止策の実施状況について10月19日までに報告するよう求めました。委員会によりますと、約1223万人分の個人情報が流出し、うち約762万人分のメールの中身が外部から閲覧できる状態…
今回の登場人物
- KDDI: 携帯電話だけでなく、複数のインターネット接続事業者にメール基盤を提供する通信会社です。今回影響を受けたのは、auメールなどとは別のISP事業者向けシステムです。
- ISP: インターネット・サービス・プロバイダーの略です。利用者へネット接続やメールを提供する事業者で、今回はKDDIの基盤を使う複数社が関係します。
- 個人情報保護委員会: 個人情報保護法を所管し、事業者を監督する国の機関です。今回、KDDIへ行政指導をしました。
- 行政指導: 行政機関が改善を求める働きかけです。裁判所の判決や、直ちに罰金を科す処分と同じではありません。だからこそ、要求された報告とその後の監督が実効性を左右します。
- 二次被害: 漏れた情報を使った不正ログイン、なりすまし、詐欺など、漏えいの後に起きる被害です。穴をふさいだあとも見張る必要があります。
何が起きたか
FNNによると、個人情報保護委員会は8月19日、個人情報保護法に基づきKDDIを行政指導しました。委員会は、再発防止策の実施状況に加え、二次被害が起きていないかを10月19日までに報告するよう求めています。
元の事案は、KDDIがISP事業者向けに提供するメールシステムへの不正アクセスです。KDDIの7月6日発表では、第三者製ソフトウェアの脆弱性が悪用され、5月16日から一部事業者で不正アクセスが発生。KDDIは6月17日に確認し、同日にシステムを改修したとしています。
人数は、メールアドレスが1233万3087人分、その内数としてパスワードが761万6173人分です。ここは報道間で表現が食い違うため、要注意です。FNNは約762万人分について「メールの中身が外部から閲覧できる状態」と伝えていますが、KDDIの一次資料は同じ規模を「パスワードの漏えい」と記載しています。本稿は一次資料を優先し、「762万人分のメール本文が読まれた」とは断定しません。
ここが本題
今回の行政指導で見るべきは、対策のメニュー表ではなく、対策が動いている証拠です。
KDDIは、6月17日のシステム改修、6月21日までの外部通信を制御する全サーバーへのEDR導入、6月23日の第三者によるフォレンジック調査を公表しています。EDRは、サーバーや端末で怪しい動きを検知し、調査や封じ込めを助ける仕組み。フォレンジックは、事件現場に残った足跡をデジタル上で調べる作業です。いずれも必要です。
ただ、「鍵を替えました」「監視カメラを付けました」「床の足跡を調べました」を並べただけでは、その後も泥棒が入っていないとは証明できません。新しい検知が本当に作動したか。対象利用者のパスワード変更はどこまで終わったか。漏れた認証情報による不正利用は見つかっていないか。これらを時系列と件数で追って、初めて再発防止が現在進行形の仕事になります。
10月19日という期限は、その途中経過を監督側へ返す区切りです。ここで行政指導を「怒られました、反省します」という作文大会にしてはいけません。大事なのは、実施した施策、残った対象、検知した異常、二次被害への対応を、あとから検証できる形にすることです。
「修正した」と「再発しにくくした」は違う
今回悪用されたのは、KDDIが導入していた第三者製ソフトウェアの脆弱性でした。KDDIによれば、6月17日の確認時点ではソフトウェア提供元も認識していなかった問題です。未知の脆弱性まで一社が完全に予知するのは現実的ではありません。
でも、「未知だったから仕方ない」で店じまいもできません。侵入を一つの壁だけで止められなかったとき、別の監視で早く気づけるか。盗まれたデータがそのまま使える形で保存されていないか。重要システムへの通信を分け、異常を追跡できるか。安全対策は、玄関の鍵一本を無敵にする競技ではなく、鍵が破られても次の扉と警報で被害を小さくする競技です。
KDDIは今後、設計書とプログラムをAIなども使って分析し、よりセキュリティ強度の高い通信規格への移行をISP事業者と進めるとしています。これも方向としては分かります。ただし「AIでチェック」は魔法の粉ではありません。どの範囲を、どの基準で、誰が再確認したかまで示せなければ、立派な名札を付けたチェックリストで終わります。
利用者側では何を見ればいいか
利用者にとって最優先なのは、契約するISPから案内が来ているかを確認し、対象ならパスワード変更を済ませることです。同じパスワードを別サービスでも使っていたなら、そちらも変更する必要があります。パスワードの使い回しは、一つの合鍵に「家・自転車・部室」と油性ペンで書いて束ねるようなものです。落としたときの被害が広がります。
一方で、利用者が1200万人超という数字だけから、自分のメール本文まで読まれたと決めつけるのも正確ではありません。どのISPの、どの情報が対象かは事業者の案内で確かめる。今回の報道とKDDI資料には情報項目の不一致もあるため、KDDIと各ISP、監督機関による今後の説明を突き合わせる必要があります。
企業を見る側は、報告期限を「終了日」だと思わないことも大切です。二次被害は遅れて見つかる場合があります。10月19日に報告書を出したか、その後に数字や対策が更新されたか、対象者へ十分な説明が続いたか。ニュースの採点日は一日ではありません。
それで何が変わるのか
今回の行政指導が意味を持つかは、KDDIが約束した施策を実施したかだけでなく、委員会がその結果をどう確かめるかで決まります。対策済みサーバーの割合、パスワード変更の進捗、異常検知と二次被害の件数、委託先を含む点検範囲。こうした検証可能な材料が出れば、他の通信事業者も自社の備えを比べられます。
逆に、人数の大きさに驚き、行政指導という見出しにうなずき、期限後の報告を誰も追わなければ、制度はかなり静かに空振りします。事故の初報は派手ですが、安全性を作り直す仕事は地味です。地味だからこそ、期限と数字で追う必要があります。
まとめ
今回のニュースを2文で言い直すなら、こうです。KDDIのISP向けメール基盤で大規模な情報漏えいが起き、個人情報保護委員会は、再発防止と二次被害の状況を10月19日までに報告するよう求めた。重要なのは1200万人超という大きな数字だけでなく、修正、監視、利用者対応が本当に機能したと継続的に証明できるかです。
行政指導はゴールテープではありません。事故のあとに会社と監督機関が何を測り、何を公にするか。その答えが出るまでが、今回のニュースです。