その人はもう、ここで働いていない。それでも、会社の中に入ることができた。
サイバー犯罪: 日常に侵入する悪意 第 6 回
狙われるのは、特別な誰かではない。
いつもの日常に、見えない侵入口がある。公開されている情報を手がかりに、その静かな進行と、日常に現れる結果をたどります。
円満な別れ
小さなクラウドファンディング事業を営むムトウは、新しい商品の発売準備に追われていた。
会社はまだ小さい。社員は数名。商品企画から宣伝、顧客対応まで、みんなで手分けして仕事をしている。
数カ月前まで、外部スタッフのトダにも手伝ってもらっていた。
トダは、商品の紹介ページや画像の制作を担当していた。仕事は丁寧で、顧客からの評判もよかった。
契約が終わったときも、特に問題はなかった。
「また何かあれば声をかけてください」
「こちらこそ。今後もよろしくお願いします」
そんなやり取りをして、円満に仕事を終えた。
ムトウは、その後もトダとの関係を大切にしたいと思っていた。
業務用のチャットからはトダを外した。共有していた資料も整理した。
ただ、クラウドストレージのアカウントについては、削除を後回しにしていた。
過去の制作物を確認する必要が出てくるかもしれない。問い合わせがあれば、トダに聞いた方が早いこともある。
そもそも、何か悪いことをするような人ではない。
急いで削除する理由もないだろう。
そう考えていた。
先に発表された商品
新商品の発売を数週間後に控えたある朝、ムトウは競合他社のプレスリリースを見て驚いた。
自社が準備していた商品と、よく似たコンセプトの商品が発表されていた。
デザインだけではない。
販売開始時期も、価格設定も、想定している顧客層も似ている。
もちろん、同じ市場で似た商品が生まれることはある。偶然かもしれない。
しかし、さらに気になることがあった。
自社がまだ公表していないキャンペーンの企画内容まで、どこか似ていたのだ。
社内で確認したところ、企画資料は限られたメンバーだけが閲覧できるようにしていたはずだった。
誰かが外部に持ち出したのだろうか。
アクセス履歴を確認することになった。
そこで、見覚えのない記録が見つかった。
数カ月前に契約を終えたはずのトダのアカウントから、クラウドストレージへのアクセスがあった。
しかも、新商品の企画資料がダウンロードされていた。
アクセス元は、トダが以前から仕事をしていた自宅の回線と一致していた。
ムトウは、しばらく画面を見つめていた。
まだ残っていた鍵
トダに連絡を取ると、ムトウはアクセス履歴について尋ねた。
「契約が終わった後も、このアカウントでアクセスしていたのですか」
トダの説明によると、契約終了後もクラウドストレージにログインできる状態だったため、以前の制作資料を確認できるものと思っていたという。
その日も、過去の仕事の参考になる資料を探していた。
そして、新商品の企画資料が目に入った。
興味を持ってダウンロードし、知り合いに相談するために送ったという。
本人は、悪意のある情報持ち出しとは考えていなかった。
「もう契約は終わっているけれど、アカウントは使える。だから、以前の仕事に関係する資料なら見てもよいのだと思っていました」
その言葉が本当だったとしても、問題がなくなるわけではない。
契約が終了した人が、会社の内部資料にアクセスできていた。
しかも、社外への送信まで行われていた。
調査では、その資料がどこまで転送されたのか、競合他社に届いた経路をすべて特定することはできなかった。
だが、少なくとも、会社が外部への持ち出しを想定していなかった情報が、実際に組織の外へ出ていた。
ムトウはトダとのやり取りを思い返した。
仕事をしていた頃は、信頼できる仲間だった。
だから、契約が終わった後も、特別な手続きを急ぐ必要はないと思っていた。
けれど、トダが今も会社の情報に触れられる状態を作っていたのは、ほかでもない自分たちだった。
内側に残るもの
IPA (情報処理推進機構) は、組織内部の人間による情報漏えいについて、繰り返し注意を促している。
その原因は、必ずしも映画に登場するような産業スパイや、会社に恨みを持った元従業員だけではない。
報酬を目的に情報を外部へ提供する人もいれば、転職先で以前の会社の情報を利用してしまう人もいる。
そして、組織の管理が不十分なために、本来はアクセスできないはずの情報に触れられる状態が残ってしまうこともある。
IPA が公表している『組織における内部不正防止ガイドライン』第 5 版では、雇用終了時だけでなく、請負等の契約が終了した際にも、取り扱いを委託した情報資産の返却または完全消去と、与えていた情報システムの利用者 ID や権限の削除を求めている。利用者 ID や権限の削除は、雇用終了直後に速やかに実施することが重要とされている。
これは、単なる事務手続きではない。
誰が、いつまで、どの情報にアクセスできるのか。
その範囲を適切に管理すること自体が、情報を守るための重要な仕組みなのだ。
実際に、日本でも、委託先の従業員が業務上与えられた権限を悪用した事案が発生している。
IPA が 2022 年に公表した『情報セキュリティ 10 大脅威 2022』では、2021 年 3 月に逮捕が公表された、証券会社のシステム保守・運用等を受託していた企業の元従業員による顧客情報の不正利用が取り上げられている。
不正行為が行われたのは、本人が業務に従事していた時期だった。業務遂行のために付与されていた本番環境と開発環境へのアクセス権限を悪用し、顧客情報を含むバックアップデータを開発環境に複製したうえで、情報を抽出して私用メールアドレスへ送信していた。
その情報を使って顧客になりすまし、有価証券の売却や現金の不正出金を行った。被害に遭ったのは 15 人、被害総額は約 2 億円に上った。
2022 年 1 月 19 日、東京地方裁判所は元従業員に懲役 4 年 6 カ月の判決を言い渡し、同年 2 月に判決が確定した。
会社が業務のために与えたアクセス権限が犯罪に悪用された事例である。ただし、これは契約終了後に残ったアカウントから不正アクセスされた事案ではなく、業務に従事していた時点で与えられていた権限が悪用された事案だった。
信じることと、任せきりにすること
2026 年版の IPA『情報セキュリティ10大脅威』でも、「内部不正による情報漏えい等」は組織向けの第 7 位に選ばれている。
2016 年以降、11 年連続で選出されている脅威だ。
決して、新しい問題ではない。
それでも、組織の内部にある情報を誰が利用できるのかという問題は、今も解消されていない。
小さな会社では、社員や外部スタッフとの距離が近い。
長い付き合いのある相手もいる。何度も一緒に仕事をして、家族のことまで知っているような関係もある。
そのような相手に対して、いちいちアクセス権限を確認するのは、どこか冷たいことのように感じられるかもしれない。
しかし、信頼することと、無期限にアクセスできる状態を維持することは別の話だ。
仕事を任せるときには、その仕事に必要な情報へアクセスできるようにする。
仕事が終わったら、そのアクセス権限も終わらせる。
それは相手を疑うことではない。
むしろ、万が一の誤操作や不注意から、相手自身を守ることにもつながる。
誰もいないはずの場所
その後、ムトウは社内のアカウントを一つずつ確認することにした。
現役の社員だけでなく、退職者、元業務委託スタッフ、過去に一時的な作業を依頼した外部の人たち。
クラウドストレージだけではない。メール、オンライン会議、顧客管理システム、制作サービス。
思っていた以上に、確認すべき場所は多かった。
一覧を見ていると、もう何年も前に仕事を終えた会社名や、顔を思い出せない担当者の名前まで残っている。
その人たちは、今もアクセスできるのだろうか。
そして、自分たちは、そのことをきちんと把握しているのだろうか。
会社の鍵は、退職時に返してもらった。
けれど、デジタルの鍵は、返してもらわなければならないことすら忘れていた。
誰もいないはずの部屋に、まだ入ることができる人がいる。
そのことに気づくのは、いつも、何かが起きた後なのだろうか。
参考資料
-
独立行政法人情報処理推進機構 (IPA) 『組織における内部不正防止ガイドライン 第 5 版』(2022 年 4 月改訂), 4-6 (24)「雇用終了及び契約終了による情報資産等の返却」 https://www.ipa.go.jp/security/guide/hjuojm00000055l0-att/ps6vr7000000jvcb.pdf
-
独立行政法人情報処理推進機構 (IPA) 『情報セキュリティ 10 大脅威 2022』組織編, 5 位「内部不正による情報漏えい」(2022 年), p. 44 https://www.ipa.go.jp/security/10threats/ps6vr7000000ave7-att/000096898.pdf
-
株式会社 NTT データ『グローバルセキュリティ動向四半期レポート 2020 年度 第 4 四半期』(2021 年), 2.2「証券システム開発者による顧客預金の横領」 https://www.nttdata.com/jp/ja/-/media/nttdatajapan/files/services/security/nttdata_fy2020_4q_securityreport.pdf
-
SCSK 株式会社『当社元社員による不正行為について』(2021 年 3 月 24 日) https://www.scsk.jp/news/2021/pdf/20210324.pdf
-
松井証券株式会社『業務委託先元従業員の逮捕について』(2021 年 3 月 24 日) https://www2.jpx.co.jp/disc/86280/140120210324483529.pdf
-
Security NEXT「SCSK に対するプライバシーマーク付与が 1 カ月間停止に」(2022 年 7 月 8 日) https://www.security-next.com/137939
-
独立行政法人情報処理推進機構 (IPA)『情報セキュリティ 10 大脅威 2026』(2026 年 1 月 29 日公開、2026 年 5 月 21 日更新) https://www.ipa.go.jp/security/10threats/10threats2026.html
本記事前半のムトウとトダ、事業や商品企画、契約終了後もアカウントが残されていた経緯は、内部不正防止ガイドラインなどで示されているリスクをもとにした架空の再構成です。特定の実在企業や個人を描いたものではありません。後半で紹介した証券会社の事案は、別途公表された実際の事例です。