年金情報125万件流出事件　ITセキュリティを軽視する“情弱”組織は大丈夫か

　6月1日、日本年金機構が100万件を超える個人情報を流出させて、ニュースになった。大規模な個人情報の漏えいは何度も起きているものの、今回の件はお粗末極まりない。堅牢なセキュリティをクラッカーが破って不正アクセスしたのではなく、重要な個人情報を扱っているのに、情弱の極みのような運用をして、事件発覚の後も悪手を連発。このざまになってしまったのだ。

　まずは、一連の流れを追ってみよう。5月8日を皮切りに年金機構の職員に大量のウイルスメールが届いた。件名は、セミナーの案内だったり、研修資料に関するもので、内部事情に詳しい人物からのものに見えたそうだ。しかし、差出人のメールアドレスは誰でも無料で作成できるフリーアドレスだった。

　このメールを、年金機構の九州ブロック本部職員が開封してしまう。翌9日にウイルスが検出されたため、セキュリティ会社に依頼するが、情報を流出させるものではないとのことで、事態をスルーしてしまう。その間にもウイルスメールは届きまくり、結局27台のPCが感染してしまう。22日には九州ブロック本部から不審な外部向け通信を検知し、29日にはネット接続を遮断した。しかし、すでに手遅れで、合計125万件に及ぶ個人情報が流出してしまった。それを受けて、6月1日にやっと発表するに至った。

　流出したのは、基礎年金番号と氏名の組み合わせが3.1万件、それに生年月日も加えた情報が116.7万件、それに住所まで加わった個人情報が漏れたのは5.2万件となる。住所氏名生年月日もセットで漏えいしたケースは、今後個人情報を利用した被害が発生する可能性があり、警戒が必要だ。

　なぜ、フリーメールからの添付ファイルを開くのか？　怪しいファイルは削除するというのがいまや常識なのだが、多数の職員たちがいる環境だと、誰かがやらかしてしまう可能性はあるのかもしれない。次に、流出した125万件のうち、55万件にはパスワードをかけていなかったとのこと。これはもう情弱の極み。重要情報を扱っていない個人のPCでも当たり前のことなのに、頭のねじが飛んでいるとしか考えられない。