情報漏洩（漏えい）の事例10選をタイプ別に紹介！
企業がとるべき対応は？

近年、ニュースでサイバー攻撃や情報漏洩について報じられることが増えてきました。大企業が標的にされているのだろうと思っている方も少なくないでしょう。しかし、情報漏洩は規模に関わらず、国内外のさまざまな企業で発生しています。
情報漏洩はなぜ起こるのでしょうか。情報漏洩の原因は「外部攻撃」「内部不正」「ヒューマンエラー」と、ほぼこの3つのタイプに分けることができます。

とくに「外部攻撃」にあたるサイバー攻撃にはさまざまな種類があり、手口はますます多様化・巧妙化しています。最近ニュースなどでも取り上げられる代表的な攻撃について、簡単に解説します。

●ランサムウェア攻撃

マルウェア感染させてシステムやデータなどを使用不能にし、解除と引き換えに身代金（ランサム）を要求します。近年は暗号資産（※1）で支払いを要求するケースも増えています。

●サプライチェーン攻撃

業務上のつながりを悪用し、サイバー攻撃を仕掛けます。比較的セキュリティ対策が手薄な中小企業が“踏み台”にされ、標的となる大企業や組織などを狙うという特徴があります。

●ゼロデイ攻撃

まだ認識されていないソフトウェアなどの脆弱性を狙い、修正が行われる日（＝ワンデイ）より前（＝ゼロデイ）に行われるサイバー攻撃で、未然に防ぐことが難しいとされています。

ここでは、先に挙げた情報漏洩の原因別に、実際に起こった事例を解説します。

【外部攻撃編】

まずはケースとして最も多い外部攻撃から、4つの事例を紹介します。

〈case:01〉ランサムウェア攻撃による情報漏洩危機

被害を受けた協同組合は、最終的に身代金を支払わず、バックアップから自力で復旧。再稼働に2カ月余りを要しました。
同組合は、インシデントの発生を受け、組合員への進捗状況の発信や個人情報保護委員会への報告を行い、再発防止に向け、外部から接続できるネットワーク機器のセキュリティを強化。さらに情報セキュリティポリシーの見直しや職員教育を徹底すると発表しました。

〈case:02〉マルウェア感染からの不正アクセス

同社では、共通化しているシステムからサーバへのアクセスを遮断し、社員に再ログインの強制実施やパスワードの変更を指示。また当該システムの認証基盤環境を分離し、ネットワークアクセス管理の強化を行うほか、外部企業を交えた再発防止策を講じています。

〈case:03〉不正アクセスによるECサイトの改ざん

クレジットカード会社から、顧客のクレジットカード情報の漏洩について連絡を受け、カード決済を停止しました。同社では、システムのセキュリティ対策と監視体制を強化。カード会社と連携し、漏洩した可能性のあるカードによる取引のモニタリングを継続し、不正利用の防止に努めています。

〈case:04〉ランサムウェアによるサーバの暗号化

同社はサーバへの侵入を検知後、直ちに全ネットワークを遮断。対策本部を立ち上げ、調査および復旧対応を実施しました。外部流出の可能性は低いものの、情報を閲覧された可能性はあるため、該当顧客などへの連絡、個人情報保護委員会への報告、警察への相談を行いました。

【内部不正編】

近年、増加傾向にあるのが内部不正による情報漏洩です。3つのケースを紹介します。

〈case:01〉元従業員による顧客情報の不正持ち出し

情報の流出は元従業員の退職後に実施した社内調査によって発覚しました。同社では、不正行為が行われた事実を厳粛に受け止め、従業員に対するコンプライアンスの徹底および社内管理体制の強化により、再発防止に努めるとしています。

〈case:02〉元派遣社員による管理者アカウントの悪用

情報の持ち出しは10年以上に及んだとされ、ずさんな管理体制に対して総務省から行政指導を受けました。同社は顧客情報を扱うすべての業務において再点検や従業員教育を実施し、さらに個人情報管理体制を強化。元派遣社員は、不正競争防止法違反の容疑で起訴されました。

〈case:03〉契約社員が個人情報を不正に持ち出し

この件による第三者への情報流出などは確認されていませんが、自治体は被害届を提出し、捜査協力を行いました。委託先企業に個人情報の取り扱いや業務管理の徹底を求めるとともに、対策防止策および情報管理の徹底を図り、信頼回復に努めるとしています。

【ヒューマンエラー編】

うっかりミスは誰もが一度は経験しているのではないでしょうか。ここからは、ヒューマンエラーの事例を3つ紹介します。

〈case:01〉職員によるUSBメモリの持ち出しおよび紛失

紛失したUSBメモリに保存された個人情報の外部への漏洩は確認されていませんが、該当患者への謝罪、問い合わせ窓口の設置、自治体への報告を行いました。再発防止策として、院内規定やマニュアルの見直し、職員に対して個人情報取扱いや情報セキュリティに関する研修を実施しました。

〈case:02〉職員によるメール誤送信

自治体は事実関係の確認後に、誤送信先の6園にデータの削除を依頼し、各園からデータの削除や受信取り消しの報告を受けました。今後の対策として、データ管理や添付ファイルの内容チェックを徹底するとしています。

〈case:03〉クラウド環境の誤設定

情報漏洩の発覚後、外部からのアクセスを遮断し、すべてのクラウド環境を含めて調査を実施。さらに専用のコールセンターを設置しました。今後の対策として、従業員への教育を徹底し、またクラウド設定を監査するシステムを導入しました。

情報漏洩対策の強化は、企業にとって急務と言える課題です。最後に、企業が取り組むべき情報漏洩対策について紹介します。

「事後的な対応」も視野に入れる

セキュリティ対策に「絶対」はありません。そこで近年は、情報漏洩が起きてしまった「事後」も含めて対応を考えておくことが重要とされています。
IPA（独立行政法人 情報処理推進機構）では、情報漏洩発生時の対応ポイント集を簡潔にまとめています。情報が漏洩してしまったときに何をすべきか、こちらも参考にするとよいでしょう。

今回は、情報漏洩の事例をタイプ別に紹介しました。情報漏洩は、「外部攻撃」「内部不正」「ヒューマンエラー」によって発生します。情報漏洩が発生すると、自社の業務に大きな影響を与え、社会的信頼の失墜にもつながります。情報漏洩のリスクを極力抑えるためには、十分なセキュリティ対策が必要です。今回紹介した事例などを自社のセキュリティ対策の参考になさってください。

SAXA-DX Naviでは、情報セキュリティ対策についてまとめた資料をはじめ、さまざまなお役立ち資料をご提供しています。ぜひご活用ください。