Webサイトからの個人情報漏えい/流出（原因と被害）

Webサイトを運営する際に気をつけるべき項目の1つが、不正アクセスによる「個人情報の漏えい」です。最近では大規模な漏えい事件が発生し、大きな事件になりました。報道を記憶している方、または実際に被害の対象となった方も多いでしょう。まさに Webサイトの責任者や運用者としてこの事件に接した方に向けて、「現実的な対策としてどう何を行えばいいのか」「対策の前提としてどういったことを考えればいいのか」を、わかりやすくまとめてみました。この機会にちょっと整理してみませんか？
2011年7月5日

Webサイトで扱う個人情報　　～個人情報っていったい何？～

個人情報の定義は、「個人情報の保護に関する法律」の第二条第1項で定められています。
e-Gov「個人情報の保護に関する法律」

政府広報オンライン内では、より分かりやすい表現で解説されています。

どんな情報が「個人情報」になるの？
--------------------------------
個人情報保護法において「個人情報」とは、生存する個人に関する情報で、氏名、生年月日、住所、顔写真などにより特定の個人を識別できる情報をいいます。これには、他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものも含まれます。例えば、生年月日や電話番号などは、それ単体では特定の個人を識別できないような情報ですが、氏名などと組み合わせることで特定の個人を識別できるため、個人情報に該当する場合があります。また、メールアドレスについてもユーザー名やドメイン名から特定の個人を識別することができる場合は、それ自体が単体で、個人情報に該当します。

このほか、番号、記号、符号などで、その情報単体から特定の個人を識別できる情報で、政令・規則で定められたものを「個人識別符号」といい、個人識別符号が含まれる情報は個人情報となります。例えば、次のようなものです。

（1）　 身体の一部の特徴を電子処理のために変換した符号で、顔認証データ、指紋認証データ、虹彩、声紋、歩行の態様、手指の静脈、掌紋などのデータがあります。
（2）　 サービス利用や書類において利用者ごとに割り振られる符号で、パスポート番号、基礎年金番号、運転免許証番号、住民票コード、マイナンバー、保険者番号などがあります。

政府広報オンライン「『個人情報保護法』をわかりやすく解説　個人情報の取扱いルールとは？」より抜粋

「不正アクセス行為の禁止等に関する法律」により、不正アクセスは法律でも禁止されています。
参考： 富山県警察サイバー犯罪対策室 「不正アクセス禁止法の概要」

個人情報漏えいの原因　　～なぜ個人情報流出事故は発生するの？～

漏えいする大きな理由は「個人情報がお金になるから」。個人情報自体を売買したり、不正入手した決済情報を使って換金する犯罪者がいます。それ以外にも興味本位でWebサイトを攻撃する人もいます（一時期、ハッカー集団といったものがマスコミをにぎわしていましたが…）。最近では、利益を目的とした攻撃、つまり前者が急激に増加していると考えられています。

インターネット上のビジネスが隆盛の一途をたどる中、残念ながらこういった活動をする人たちは今後も後を絶たないでしょう。

うわさ話のレベルですが、ある発展途上国では不正アクセスは法律で禁止されておらず、おおっぴらにビジネスになっているという話もあります。少年が漏えいした情報を元にオンラインゲームを利用して、アイテムやゲーム内通貨の売買で一家を養っている美談（？）も、まことしやかにささやかれています。

こうした不正アクセスを行う動機と、Webサイトの欠陥、すなわち 「脆弱（ぜいじゃく）性」 とが結び付くことで、情報流出事故は容易に起こります。

経済的動機による不正アクセスが増加し、国境を越えて行われるのに対し、各国で法律整備度合いのばらつきが大きい現状を踏まえると、不正アクセスによる個人情報漏えいは一時的なブームではなく、脆弱性が放置される限り、今後もそう簡単に無くならないものと考えた方がよさそうです。

▼個人情報漏えい報告の総被害人数は落ち着きを見せている中、Webサイト/Netの不正アクセスによる被害人数は増加傾向にあります。1件当たりの流出情報数が大きいのも特徴で、さらなる被害拡大が懸念されます。

個人情報漏えいの事例と傾向 　～どのくらい、どんな事件が起こっているの？～

最近では有名ゲームサイトからの情報漏えいが発生しましたが、過去にも不正アクセスによるWebサイトからの個人情報流出事故がたくさん発生しています。また、表面化されている事故は一部で、本当はもっとたくさん事故が起きているという意見もあります。

「不正アクセス」の事実だけで、詳細な原因が公表されていない場合も多いですが、Webサイト上のアプリケーションに存在する脆弱性が、運営者側に発見されず放置されていたため、外部攻撃によってデータベース上の個人情報が抜き出された、というパターンが典型的なものと言えます。

▼国内で発生したWebサイトへの不正アクセスによる個人情報漏えい・流出事件の例

【1】 顧客への直接的被害

情報漏えい事件が起こると、まずWebサイトを利用しているユーザーに直接的な被害が発生する可能性が出てきます。個人を特定しうる重要な情報が第三者の手にわたって（売買される例も多いようです）、登録した覚えのないDMが届いたり、他のWebサイトで同じパスワードとIDの組み合わせを利用しているユーザーには、パスワードやIDとなるメールアドレスが漏えいすると、他のサイトで不正アクセスをされる被害も発生してしまいます。

特に重要な決済情報であるクレジットカード番号が流出することはもちろん大問題です。しかし、それ以外の情報でも、上記のように悪用の方法は多岐にわたります。Webサイトで会員情報等を管理する場合は、予想以上の被害が発生しうることを十分に意識するべきだと言えます。

【2】 被害サイトが、クレジットカード決済を利用できなくなることも

クレジットカードで決済可能なECサイトでは、事件が判明すると決済サービスの利用を一時的に停止されてしまうこともあります。あるECサイトではクレジットカード決済を再開するために、いろいろなセキュリティー対策を実施することが必要になったそうですが、対策費用がかなり高額だったために実施できず、事故から数年たった現在でもクレジットカード決済は再開されていないようです。

特に重要な決済情報であるクレジットカード番号が流出することはもちろん大問題です。しかし、それ以外の情報でも、上記のように悪用の方法は多岐にわたります。Webサイトで会員情報等を管理する場合は、予想以上の被害が発生しうることを十分に意識するべきだと言えます。

【3】 調査や報告など各種手続きに追われる

◆ 警察への連絡

本当にWebサイトから情報が漏えいしている場合は、盗難事件にあたる可能性がありますので、警察に連絡しなくてはなりません。「警視庁サイバー犯罪対策課」や「京都府警察本部 サイバー犯罪対策課」では、電話やメールでの相談窓口が設置されています。緊急を要すると判断した場合は、110番に電話し所轄の警察署に相談しましょう。

◆ セキュリティー調査や対策の実施

漏えいしている個人情報の内容を確認したり、その証拠（Webサーバー等のシステム）を保全したり、そもそも稼働しているWebサイトを停止するか等をすぐに決めなくてはなりません。できれば、そういった非常事態が発生した際の連絡先一覧表と意志決定プロセスを組織内でまとめて周知しておきましょう。

◆ 利用者や関係者、マスコミへの案内

Webサイトのユーザーや取引先の企業に対していち早く連絡することが大切です。事件の発生からその後の対処経過も含めてWebサイトにて公表するとユーザーの不安も軽減できます。逆に、公表が遅れると不安が増大しかねません。

【4】 損害賠償責任

過去に何度も報道されていますので、皆さんもご存じだとは思いますが、情報漏えい事件が発生すると、被害ユーザーに対して補償や損害賠償をすることがあります。金額の多寡はまちまちですが、漏えいしたしまった情報の内容によっては、非常に高額になる事例もあります。

ユーザーへの補償額・賠償額だけでなく、それに付随する対応のために、専門家への報酬や手続き費用など、まとまった金額が必要となることが一般的です。

【5】 人材面での損害

ユーザーへの被害や対応、また金銭的な被害の陰に見過ごされがちですが、事故が発生すると、事後対応に苦慮し、組織がとても疲弊してしまう例が多いのです。その結果、問題の解決にあたったキーマンが会社を辞めてしまう例も少なくないようです。

もちろんお金の問題も大切ですが、それ以上に、優秀な人材が疲弊し会社を去ってしまう、人的被害も小さくありません。もし一人に漏えいに関する対応を任せてしまい、その一人が職を辞したら、社内には情報漏えい対策のノウハウは残りません。組織で対応したとしても、降ってわいた情報漏えい対応に忙殺され、中小企業では企業ドメインの縮小に発展することも珍しくはありません。情報漏えいを未然に防ぐための対策は、企業規模によっては会社自体を守ることにも直結するのです。

【6】 ネットに残り続ける風評

そして、個人情報の流出がその後の事業にじわじわと影響を与え続けるのが、長期間にわたる風評です。事故発生後の的確な対応や、追加したセキュリティー対策によりユーザーの信頼を速やかに回復できる場合もありますが、一般的には、既存のユーザーが離れてしまうだけでなく、新規のユーザーも警戒してしまうなど、数年にわたり売上や利益に影響することが多いようです。

ネットでの情報はなかなか消えないため、ECショップの名前で検索すると、漏えいに関するニュースが検索結果の上位に表示される、などということも考えられます。

個人情報漏えい事故の責任　　～誰の責任なの？～

情報漏えいの責任については、状況によっては、漏えいした本人やWebサイト制作者にもあるのではないかという意見もありますが、いままでの判例等をみると、やはり企業側に損害賠償等の責任を求めることが多いようです。

ECサイトに限らず、Webサイトを運営する企業の多くは、外部業者にプログラムの開発や運用を依頼しています。委託元であるサイト運営者自身が、Webサイトのセキュリティー上の問題を意識し、委託先業者と情報を共有してしっかりと管理しましょう。

（後編に続く）