委託先ランサム被害、12年前に取引終了した企業のデータまで流出

7月27日、国内で立て続けに4件のサイバー被害が公表された。日本テレネットへのランサムウェア攻撃、その委託元だったリンドスポーツの12年前の顧客情報流出、福岡大学の委託先ノストラムへの不正アクセス、ヴェレダ・ジャパン公式通販サイトへの侵入だ。件数だけ見れば規模はまちまちだが、注目すべきは前者2件が「同じ事件」の表と裏だという点である。

終了した契約のデータが牙を剥いた #

日本テレネットはFAX送信代行などのBPO事業者で、ネットワーク機器経由の侵入を受けファイルの一部を暗号化された。影響は自社分だけで約106万件。データの外部持ち出しの痕跡は確認されていないというが、同社のサーバには2014年に取引が終了した顧客リンドスポーツのデータ3,075件がそのまま残っていた。学校名・担当者氏名・FAX番号という一見地味な情報だが、10年以上前に「もう関係がない」はずの企業まで、加害者ではなく被害者側として巻き込まれる事態になった。攻撃者から見れば、現役顧客のデータも休眠中の旧顧客データも同じサーバ上の等価な戦利品でしかない。

攻撃手法はバラバラ、穴は同じ #

同日発表の福岡大学委託先ノストラムはネットワーク侵入とバックドア設置で最大33,668人分の学籍情報に影響、ヴェレダ・ジャパンは自社ECサイトが直接狙われカード決済停止に追い込まれた。ランサム暗号化、バックドア常駐、ECサイト侵害と手口は様々だが、共通するのは「自社の防御は固めていても、委託先や過去データの管理にまで目が届いていない」という構造的な穴だ。

委託先管理に必要な一手 #

契約終了後のデータ削除・保有期限の明文化、委託先の第三者管理体制の定期監査。これらは地味だが、被害の連鎖を断つ最初の一手になる。「もう取引していないから関係ない」という油断こそが、10年以上前のデータを漏洩リストに載せる最大の原因だった。