ハンズHD、ランサムウェア被害で従業員のマイナンバー閲覧の恐れ

発覚から2カ月、続報で見えた「マイナンバー」の重み #

小売大手「ハンズホールディングス」（旧東急ハンズ）が、社内システムへの不正アクセスとランサムウェア被害を公表した。6月19日に感染の疑いを確認し、6月22日に初報を出していたが、8月25日の第2報で被害の全容がより具体的になった。漏えいのおそれがある情報は、氏名・住所・生年月日・入社年月日・連絡先といった人事情報に加え、従業員本人だけでなく退職者や扶養家族分のマイナンバーまで含まれる。現時点で実際の漏えいは確認されていないというが、同社は対象者に自治体でのマイナンバー変更手続きを案内する事態となっている。

なぜ人事システムが狙われるのか #

ランサムウェア攻撃者は身代金支払いへの圧力を最大化するため、暗号化と同時に機密データを窃取し「支払わなければ公開する」と脅す二重恐喝が定番化している。人事・労務データはその中でも狙われやすい標的だ。氏名や住所だけならまだしも、マイナンバーは日本国内で本人確認や行政手続きに直結する唯一無二の識別子であり、一度漏れれば偽の口座開設や税務関連の不正申告などに悪用されるリスクが、クレジットカード番号以上に長期化しやすい。しかも変更には自治体窓口での手続きが必要で、被害者側の負担は軽くない。

企業側にとっての教訓も明確だ。マイナンバーは法律上「特定個人情報」として通常の個人情報より厳格な管理が義務付けられているが、人事システムがランサムウェアの標的になった大半のケースでは、暗号化技術そのものより前段の不正アクセス経路――VPN機器や認証情報の管理不備――が突破口になっている。バックアップの分離保管と多要素認証の徹底が、被害範囲を左右する分水嶺になる。