タグ: サイバーセキュリティ

日本経済新聞は7/23、「ドコモ顧客情報、委託先で流出疑い　元派遣社員を書類送検」と報じました。これ（情報流出の事実）ってすでに公表されてたのかな？全然知りませんでした。警視庁は22日までに、同社の内部情報を不正に持ち出したとして、業務委託先の元派遣社員で20代の男を不正競争防止法違反（営業秘密領得）容疑で書類送検しました。

NTTネクシア

容疑者の男は、NTTネクシア（札幌市）の元派遣社員。容疑は3月30日、不正に利益を得る目的で自分の業務用パソコンを使い、顧客情報を含む営業データを外部にアップロードして持ち出した疑いだそう。

NTTも、NTTドコモも今のところこの事実についてなんら公表してないようですが、NTTネクシアのホームページでは7/21付けで、「弊社元派遣社員による委託元お客さま情報の不正流出について（お詫び）」が掲載されています。

お問い合わせ先も記載されてるんですが、専用ダイヤルは「ネクシア特設ダイヤル」となっていて・・・。こんなHPにひっそりあげててもしょうがないだろうに。驚いた顧客がNTTドコモに問い合わせたらネクシアにたらいまわしかな？

もちろん、ドコモにしてみれば被害者なわけで、気持ちは分からなくもないんですが、自社の大切な顧客の情報。ドコモが先頭に立って顧客対応するべきだと思うのですが。

ちなみに、3/30に顧客データが違法にアップロードされた場面については、業務では行うことがない外部への通信が発生したとして、ドコモのネットワーク監視が検知していたそうです。

オーハシテクニカは6/15、「当社海外子会社における資金流出事案に関する調査結果及び再発防止策の策定並びに役員報酬の一部自主返上に関するお知らせ」を公表しました。4/25に、「当社海外子会社における資金流出事案について」、を公表してたんですね。見落としていました。

オーハシテクニカ

オーハシテクニカは、エンジン部品など数万点に及ぶ自動車関連部品を主体に、携帯電話機用ヒンジ（ちょうつがい部品）、ゲーム機用ヒンジ等の情報・通信関連部品の設計開発、製造、販売、物流業務を行う独立系サプライヤー。東証プライム上場企業です。

事案の概要

海外子会社であるメキシコ法人の代表者が、親会社代表者の代理人を騙る悪意ある第三者から M&A 案件に係る資金を内密かつ緊急に送金するよう虚偽の指示を受け、3 月 30 日から 4 月 3 日の間、3 回に渡り合計 2,094 千米ドル（約280 百万円）の送金を実行し、資金を流出させたというもの。

子会社代表者が単独で送金手続を実行したもので、他の当該子会社及び同社グループ役職員が本事案へ関与した事実や、当事者が関与した不正行為である可能性も認められなかったとしています。ビジネスメール詐欺だったの？

調査と開示のあり方

調査にあたったのは、社外取締役を責任者とし、外部の弁護士を含む「調査・対策チーム」だそう。社外取締役にしても、外部の弁護士にしても、同社に都合の良い理屈や結論をいくらでも用意するだろうし、こんな対応で良かったんでしょうかね。

百歩譲って良かったとしても、調査結果の開示内容があまりに抽象的過ぎ。なんでこんなアホみたいな詐欺に引っかかったのか、が理解ができません。役員報酬も返上して、とにかくさっさと幕を引きたかったんでしょうけど・・・。こんなんじゃダメでしょ。

トヨタ自動車は5/12、「クラウド環境の誤設定によるお客様情報の漏洩可能性に関するお詫びとお知らせについて」を公表しました。例によってホームページでひっそりと。子会社トヨタコネクティッドが管理する顧客約215万人分のデータの一部が、誤ってインターネット上で外部から10年近く閲覧できる状態になっていたとのこと。

事案の概要

トヨタのお知らせによると、「トヨタコネクティッド株式会社に管理を委託するデータの一部が、クラウド環境の誤設定により、公開状態となっていた」ということです。外部より閲覧された可能性がある顧客情報は、車載端末ID、車台番号、車両の位置情報、時刻などで、約215万人分だそう。

外部からアクセスできる状態にあった期間は2013年11月6日～2023年4月17日。なんと約10年にわたってです。トヨタは、「これらのデータのみでは、お客様が特定されるものではない」としていますが、だから問題ないというものではありません。

昨年10月に

トヨタでは22年10月にも、顧客約29万6000人分のデータが閲覧できる状態になっていたことが判明しています。メールアドレスや顧客を管理するための番号で、開発の委託先企業がプログラムを誤って公開設定にしていたことが原因だったとしていました。

当時、クラウドにおけるアクセス設定のミスによる情報漏えい問題が多発しており、総務省が、「クラウド設定ミス対策のガイドライン」を公表するなどの騒ぎになっていました。そのような状況下でトヨタでも上記の問題が発覚しています。

問題は何故この時、10年も続いていた誤設定については見逃してしまっていたのかというところです。その辺りについてはトヨタも一切触れていません。やっぱりダメですか、この会社。