【コラム】「また?」 個人情報漏洩の危険

マスコミで報道されるニュースを見ると、ほぼ毎日と言っても良いほど頻繁に「個人情報漏えい事故」が起こっている。まるで当然のことのように起こることだ。以前は、だから、インターネットの大衆化以前には、このような事故が起こると、社会全体が怒りを発するたりしたが、最近はあまりにも頻繁に事故が起きているからもう慣れてしまい、みんながただ「えっ、また?」とちょっとかんしゃくを起こしてすぐ忘れてしまう。個人情報は、私だけのものではなく、誰でも使える公共財になったという嘲笑さえ聞こえる。しかし、個人情報漏えい事故は、そんなに軽く考え、適当に笑ってすますことでは決してない。本当に本当に危険千万なことだからだ。

 

「火車」、他人の人生

社会派ミステリの巨匠である宮部みゆきの小説の「火車」には、他人の身分を偽装し暮らす女性が登場する。宮部さん特有の文体のおかげで最初から最後まで軽快によく読み取ることができたが、読んでいる間、心が重くなるとても暗い犯罪小説である。

不動産開発ブームに陥った父親の無理な融資のせいで、家族が借金取りに追われて家を離れ、各地を放浪していたところ、両親を失って本人も四面楚歌の状態に追い込まれた新城喬子は、女性向けの下着を販売する通販会社の職員として働きながら、顧客の中で家族と連絡せず、職業が不安定な若い女性である関根彰晃の個人情報を盗んで、身分を偽装してその人の振りをしながら生きていく。構成員は断絶され、相互コミュニケーションがなく、形式的なシステムだけますます複雑になっている現代社会ではどんな人のアイデンティティがその人の性格や人柄などの自然な性質より、身分を証明する各種の番号と短い文章により決定される。だから新城喬子も小説の中で特別な事件が起こる前までは盗んだ個人情報で無難に他の人として生きていくことができたのだ。

しかし、小説のタイトルである「火車」は、人の魂を地獄に連れて行く「燃える車」を意味する言葉で新城喬子の偽人生の最後はハッピーエンドではない。

 

個人情報とは？

個人情報は、それこそ個人そのものだ。どんな人を特定し、識別できる情報として住所、氏名、年齢、性別、生年月日、電話番号などの基本情報のほか、学歴、経歴、勤務先、結婚歴、クレジットカードの番号、兵力、前科の有無などをすべて含む。私たちは、個人情報を通じて自分が自分であることを証明しながら日常生活を維持するのだ。

ICT技術の発展により、過去には収集や取り扱いが難しかった種類の情報まで簡単に取得して利用できるようになるにつれて、個人情報漏えいによる危険性も高まった。このように高まっている危険性を解消するため、この2015年9月「個人情報保護法」がほとんど10年ぶりに改正された。従来の問題の解決だけでなく、より効率的に個人情報を管理するため、追加的に特定の個人情報、すなわち「マイナンバー制度」を新設することによって、より厳格に情報を管理するという意味もある。

しかし、マイナンバーという、特別に管理しなければならない代表的な個人情報をもう一つ追加したわけであるため、情報漏えいによる危険性の問題が解決されたのではなく、むしろさらに増加したという指摘は相変わらず議論の対象だ。さらに、マイナンバーセキュリティの関連法規がまだ具体的ではないので、制度が実際に施行されてから数ヵ月が経っているが、最も基本的なセキュリティ措置であるデータ暗号化さえ施行していない企業がほとんどだ。だから、マイナンバーのせいで個人情報漏えいの危険がさらに増えたという不満の声は妥当である。それにもかかわらず、相変わらずまともな個人情報保護措置を取らせようとする努力は見つけられない。自発的には行動することを期待してはならない仕事だから、関連法の規制内容をより具体的に補強してこそ、解決される問題であるようだ。

 

個人情報漏えい事故の経緯とその対策

ところで、個人情報は、どうやって流出されるか？外部の攻撃によって個人情報が流出される場合は、ほとんどがハッカーの内部ネットワーク侵入の試みそして内部の人のミスによって起こる。ある日、メールが届く。普段よく連絡している取引先から来たメールだ。開けてみたら、メールの中に業務と関連されたファイルが添付されていた。何気なく開いたが、特別な内容がなくて、そのまま閉じる。しかし、この時、すでにシステムはファイルの中に隠されていた侵入用マルウェアに感染され、これを通じて内部ネットワークに侵入して、データベースにアクセスしたハッカーは、情報を外に流出させる。「いや、そんなメールは最初から開けなければ良いのではないか!」　さあ、取引先からきた業務メールを開けないというのがむしろおかしくないか?

漏えい事故は防ぐことも難しいが、事故発生後の対処も難しい。情報を流出されたという事実自体を認知できない場合がほとんどだからだ。「わが社はセキュリティに特別に気を使わないにもかかわらず、運が良いのかまだハッキングされなかったよ。」

いや、すでにハッキングされたことに気づかなかったのかもしれない。ハッキングは、セキュリティに特別に気を使ってからこそ、やっと侵入者の存在に気付くぐらいだから。

ハッキングとセキュリティは、矛と盾の終わらない戦いだが、今までの成績を見れば、矛が盾を完全に勝っている。盾の立場ではいくら最善を尽くしても結局は突き通してしまうから、これは、どうも方法がないように思われるのだ。

こうなると、認めざるを得ない。 内部ネットワークの侵入は避けられない。最善を尽くして事故発生の確率を減らすために努力するが、残念なことに流出事故は必然的なので、結局は起きてしまう。過去、漏洩事故の経緯を調べたところ、事故が起きた後、なんとかかんとか口だけうるさく言っているが、実際に未然に防止することができたことはほとんどなかった。いくら注意しても、ハッカーたちの専門性はそれを軽く超越してしまう。

いや、じゃあ、何をどうすればいいのか？まずは、防御力を実際の事故多発地点に集中する。最近、起きているほとんどの流出事故は、Webコンテンツを通じた侵入により発生する。経済産業省の情報処理推進機構(IPA)で発表した報告書（※クリックすると、原文を見ることができます。）によると、現在の情報セキュリティの危険性1位は「Ｗebアプリケーション脆弱性」が占めている。したがって、最優先的な措置としてWebアプリケーション領域を死守することでWebコンテンツを悪用した攻撃を遮断する道具である「WAF(Web Application Firewall)」の使用をおすすめする。WAFを使用すれば、既存の代表的なセキュリティツールだったアンチウイルスプログラム、ネットワークファイアウォールでは防ぐことができなかったWebコンテンツ攻撃を防ぐことができる。なので、まずは、WAFを使って事故発生確率を最小限に減らすことから始めよう。

しかし、再び強調したいのは、どのようなルートを通じても侵入は結局起きてしまうことという点を忘れてはならないことだ。このような場合、情報を守れる唯一の方法はデータ暗号化だ。しかし、単純にデータベースを暗号化するとして、全てのリスクが完璧に消えるわけではない。データが流れる経路を最初から最後まで全部暗号化する、つまり「DEP(Data Encryption Platform)」概念に充実した暗号化体系を構築しなければならず、さらに企業全体の業務文化がDEP内部で発生して行われなければならない。そうすることで流出事故を事前に防止でき、もし事故が発生しても、流出による被害を最小化することができる。

 

個人情報流出による2次被害

ハッカーたちは、盗んだ個人情報を人質にして情報を盗まれた企業を相手に身代金を要求して脅迫したりもするが、ほとんどの情報は、ハッカーの闇市場で1件あたりにいくらというやり方で取引される。そして、このような方式で取引された個人情報はまた他の犯罪に悪用される。

例えば、通信を利用した「振り込め詐欺(フィッシング詐欺)」犯罪組織に対して、個人情報はとても立派な餌になる。受話器が鳴って、受けたところ、知らない人が「あなたの口座が危ないから、早く安全な口座にお金を移しなさい!」といえば、ほとんどは笑いながら無視して電話を切るだろう。

しかし、「私はOO市検察庁のOOです。OO市OO県OOマンションに居住しているOOOさんですね。現在、誰かがOOさんの名義を盗用して、通帳を開設してOOO万円の融資を受けましたが、OOOさんがその犯罪に加担していないということを確認しなければなりません。まず、口座を確認します。OO銀行の口座番号OOOOOOOがOOさんの口座で間違いありませんか?」と聞くのであれば?誰だって不安になるのは当然だ。

また、これはどうか。「OOOさん、私は厚生労働省に務めているOOOと申します。OOOさんの国民健康保険に問題があって電話いたしました。OOOO年O月OO日、OO病院で診療を受けたことがございますね。その時、OOOさんの名義が盗用されたみたいです…」とか。このような電話を受けたら、当然相手が公務員と信じれるしかないんじゃないか?実際、振り込め詐欺(フィッシング詐欺)犯罪に騙されて財産を失った被害者たちの記録をみると、相手が自分の個人情報、特に、住所や診療記録などの詳しい情報を知っているという事実に最も不安を感じたという。

フィッシング詐欺は、「釣り」という意味だ。釣り師は、釣りに個人情報というえさをかけ、被害者たちを狙う。一応、不安を感じた被害者は、相手が言うとおりに自分の口座にあるお金を全部送金してしまって、無一物になったり、犯罪に悪用される架空口座を作ることなどに名義を盗用されたことで、2次的な被害を被ることになる。じゃあ、その餌はどこから得たのだろう?

忘れないこと。流出されたた個人情報は必ず犯罪に悪用される。そうでなければ、ハッカーがなぜ自分たちの貴重な時間と費用を投資して情報を盗み出そうとするのだろうか。ハッキングにかかる費用も少なくない。だからハッカーは、情報を売らざるを得ないし、情報を買う人もその費用を回収するためにも、情報を利用するしかない。難しいことでもない。「火車」に戻って話を続けてみると、新城喬子は、関根彰晃を偽装するために関根彰晃を殺人するなど、仕事を複雑にするしかなかった。だが、よく起こる個人情報の悪用犯罪は、簡単に利用してしまえばそれで終わりなので、本当に簡単にそしてあっという間に起きる。誰かが私の個人情報を盗んだというのは、私も知らないうちに自分の名義の通帳が作られ、その通帳を利用して私金融から融資を受け、自分の名義の自動車が道路を通って、自分の名義の携帯が犯罪に悪用される危険にさらされているという意味だ。

マスコミの「個人情報漏えい事故」報道は珍しくないが、珍しくないからといって普通のことだと考えてはいけない理由がここにあるわけだ。

 

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201