D2/100
情報漏えい · 高
NTT西日本グループの内部不正で約928万人分の情報が持ち出し
ティアD · 参考情報 – 知っておくと良い
影響を受ける人： 委託元69社の顧客や住民、約928万人分の個人情報
ティアDの理由： 開発者に影響しない
影響範囲
攻撃
被害
修正
シークレットの流出
要点
- NTT西日本グループの派遣社員が、コールセンターのシステムを保守する中で約10年にわたり情報を持ち出していた。
- 持ち出された情報は委託元69社の顧客や住民など約928万人分で、一部は名簿業者に売却された。
- 2022年に流出の疑いを指摘された際、調査では「漏えいは確認されなかった」と回答したが、持ち出しは続いた。個人情報保護委員会は、調査の経緯と原因を明らかにできていないことを理由に勧告した。
なぜ重要か
内部者による持ち出しは外部からの攻撃対策だけでは防ぎにくい。保守用の権限を持つ委託要員の操作ログ監視やアクセス制限、疑いが生じた際の調査の透明性確保が、開発や運用に関わる者にとって重要になる。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中1項目が「はい」
| いいえ | 開発者に影響 | 開発やIT部門が使うソフトウェアや機器ではなく、通信事業者のコールセンター業務での内部不正のため |
| いいえ | 基幹インフラ | ほぼすべてのチームが運用する基盤ソフトウェアの脆弱性や侵害ではないため |
| いいえ | 人気ツール | 広く使われる開発技術やプラットフォームの脆弱性ではなく、派遣社員による持ち出しが原因のため |
| いいえ | 悪用確認済み | Zenn記事: 派遣社員が約10年にわたり顧客情報を持ち出した。脆弱性の悪用ではなく内部不正である |
| いいえ | 公開エクスプロイト | Zenn記事は公表資料や委員会資料をもとにした経緯の説明であり、エクスプロイトの公開には触れていないため |
| いいえ | 認証不要のリモート攻撃 | Zenn記事: 保守を担当した派遣社員による内部不正であり、外部からの認証不要の攻撃ではないため |
| いいえ | 完全な乗っ取り | Zenn記事: 情報の持ち出しが中心で、コード実行や管理者権限の取得は報じられていないため |
| はい | シークレットの流出 | Zenn記事: 69の委託元の顧客や住民の情報、約928万人分を持ち出し、一部を名簿業者に売却したと報告 |
| いいえ | サプライチェーン | Zenn記事: 正規のパッケージや更新、ビルドの経路を通じた悪意あるコードの配布は報じられていないため |
| いいえ | 修正なし | 脆弱性ではなく内部不正の問題であり、修正すべきソフトウェアの未修正は報じられていないため |
出典
「漏えいは確認されなかった」と報告した後も続いた持ち出し、約928万人分 ── NTT西日本グループの内部不正 ↗ Zennの「Security」のフィード · 11時間前