テレビ朝日系列に不正アクセス、マイナンバー含む4,543件の漏えいの恐れ

テレビ朝日グループの制作会社、テレビ朝日メディアプレックスが不正アクセスを受け、従業員・採用応募者・取引先の個人情報あわせて4,543件が漏えいした可能性があると公表した。うち従業員1,343件分にはマイナンバーや銀行口座番号も含まれており、被害の質としては軽視できない部類に入る。

認証連携の"鍵"が盗まれた #

外部専門機関の調査によると、原因は「サーバへの認証連携に使用するアカウントの認証情報」が窃取・悪用されたことだという。パスワードそのものというより、システム間を橋渡しする連携用の認証情報を奪われた点が特徴で、正面から侵入口をこじ開けるのではなく、すでに信頼された経路になりすます攻撃に近い。SaaS連携やSSOの認証情報を狙う手口は近年の企業侵害で主流になりつつあり、単一のパスワード管理だけでは防ぎきれない領域に入ってきている。

マイナンバーまで漏れた重み #

漏えいの可能性がある情報は3群に分かれる。従業員1,343件(マイナンバー・生年月日・住所・銀行口座番号)、採用応募者2,786件(氏名・生年月日・連絡先など)、個人取引先414件(法人番号・インボイス登録番号)。マイナンバーは他の識別情報と組み合わさることで名寄せやなりすましのリスクが高まる、いわば社内データの中でも「一番奥の金庫」にあたる情報だ。それが認証情報窃取という比較的地味な手口の先で流出しかけた点に、この事件の教訓がある。

検知から公表まで3カ月 #

不正アクセスの検知は4月28日。関係サーバを止めて外部調査に入り、情報漏えいの可能性が判明したのは6月19日、対外的な第一報は7月3日、詳細な第二報は7月30日だった。検知から一般公表まで2カ月以上を要しており、被害の全容確認に時間がかかる一方で、対象者への通知や社会への説明責任とのバランスをどう取るかは、この種のインシデント対応で今後も問われ続けるテーマだろう。