Yahoo! BB顧客情報漏洩事件
Yahoo! BB顧客情報漏洩事件（ヤフー ビービー こきゃくじょうほうろうえいじけん）は、2004年に発生した、ソフトバンクBB（現在のソフトバンク）が運営するADSLブロードバンドサービス「Yahoo! BB」の顧客情報が、内部関係者らによって大規模に漏洩した事件である。 本事件は、約450万人分ものYahoo! BB登録者の個人情報が漏洩したという当時としては史上最大規模の個人情報漏洩事件となった。また、漏出したYahoo! BBに現金を要求していたソフトバンク関連元社員らが逮捕された[1][2][3][4]。 企業のずさんな情報管理体制が白日の下に晒され、個人情報保護法が全面施行される直前であったこともあり、日本の企業社会におけるサイバーセキュリティやコーポレートガバナンスのあり方に大きな影響を与えた[5]。最終的に司法は、企業の法的責任を認め、個人情報の漏洩による精神的苦痛に対する損害賠償を命じる重要な判例を形成した。 概要2004年1月に発覚したこの事件は、高度なサイバー攻撃によるものではなく、ソフトバンクBBの元従業員や業務委託先の関係者といった内部者が、ずさんな管理体制を利用して顧客データベースにアクセスし、情報を不正に取得したものであった[6]。犯人らは不正に取得した情報を基に、ソフトバンクBBに対して金銭を要求する恐喝行為に及んだ[7]。警視庁は主犯格である右翼団体「新生日本協議会」元会長で出版社経営の人物と東京都内のヤフーBB代理店の役員2名をソフトバンク本社に対し個人情報と引き換えに30億円を脅し取ろうとした恐喝未遂容疑で逮捕した[8][9]。 当初、ソフトバンクBBは漏洩件数を242件と発表していたが、警察の捜査が進むにつれて被害の甚大さが明らかになり、最終的には451万件を超える顧客情報が漏洩したことが明らかになった[10]。漏洩した情報は氏名、住所、電話番号、メールアドレスなど広範にわたったが、クレジットカード番号や銀行口座情報は含まれていなかった[11]。 この事件は、急成長を最優先する経営の陰で、基本的なセキュリティ対策が軽視された結果として発生したものであり、事件後の対応や司法判断を含め、日本のデータ保護の歴史における転換点と位置づけられている[12]。 漏洩の経緯と規模犯罪の構図本事件は、内部の杜撰な管理体制が引き起こした「機会犯罪」であった。不正に取得された顧客情報データベースを盾に、ソフトバンクBBに対して金銭を要求した恐喝未遂事件として表面化した[13]。 事態は単純な窃盗事件ではなく、少なくとも2つの独立したルートから脅迫事件が発生するという異例の展開を見せた[14]。これは、一度きりのセキュリティの綻びではなく、持続的かつ体系的な脆弱性が存在したことを示唆している。警察の捜査により、北海道函館市の会社役員（後に湯浅容疑者として特定）と、別の人物（木全容疑者）がそれぞれ独自にデータを取得していたことが判明した[15]。この事実は、同社のデータ管理体制が、複数の無関係な第三者がそれぞれ独立して機密情報にアクセスし、持ち出すことが可能な状態にあったことを物語っている。警察が押収したデータの内訳は、湯浅容疑者が所有していたデータが約460万件、木全容疑者が所有していたデータが約56万件にのぼった[16]。 規模と範囲事件発覚当初、ソフトバンクBBは被害の規模を著しく過小に発表していた。2004年1月23日、ソフトバンクはYahoo! BB登録者の個人情報が外部に漏れていた事を発表した[17]が、この時点では、漏洩件数はわずか242件とされていた[18]。 しかし、警察の捜査が進展するにつれて全貌が明らかになり、同年2月27日、同社は最終的に4,517,039件の顧客情報が漏洩したことを公式に認め、謝罪した[19]。これは、日本の情報漏洩事件史上、当時としては最大規模のものであった。 被害者情報漏洩の被害は、Yahoo! BBサービスの現役加入者だけに留まらなかった。被害者の内訳は、現役加入者240万3,617件、無料体験キャンペーン申込者147万3,774件、加入手続中の顧客9,834件、そして解約者62万9,814件に及んだ[20][21]。ソフトバンクBBは当初、2月24日の記者会見で「解約者の情報は含まれない」と説明をしていた[17]が、わずか3日後の2月27日にはこの発表を覆し、解約者情報も漏洩していた事実を認めた[20]。この訂正により、同社の信頼性を大きく損なうとともに、顧客データのライフサイクル管理、特に不要になった情報の適切な削除という、データガバナンスの基本原則が遵守されていなかったことが明らかになった。 時系列
原因ソフトバンクBBは当初、「外部からの不正アクセス」の可能性を示唆していたが、事件の真相は、内部のセキュリティ管理体制にあった。現役社員、元派遣社員、そして業務委託先の関係者といった内部者が、容易に顧客データベースにアクセスし、情報を外部に持ち出すことが可能な状態であった[27]。 犯行の手口は、元派遣社員などが不正に入手した正規のIDとパスワードを用い、インターネットカフェなどの社外のPCからデータベースにアクセスするというものであった。これは純粋な外部攻撃ではなく、内部のアクセス権限管理の不備を突いた「内部者による犯行」と位置づけられる[28]。 体系的なアクセス制御の不備最も深刻な問題の一つは、顧客データベースへのアクセス権限が、あまりにも多くの人間に与えられていたことであった。ある時点では、一次販売代理店の関係者を含む135人もの人物が、顧客情報にアクセス可能なアカウントを保有していた[27]。多数の派遣社員が共通のIDとパスワードを使い回していたこと[29]が、後の調査で明らかになっている。これにより、誰がいつ、どのような操作を行ったのかを特定する基本的な監査証跡が完全に失われていた[29][28]。データベースへのアクセスログの保存期間は、わずか1週間程度に設定されていた[28]。インシデント発生後にフォレンジック調査を行うことが事実上不可能であった。またデータベースにアクセス可能な端末が設置された部屋への入退室管理において、認証や本人確認が徹底されていなかった[28]。 急成長至上主義の企業文化これらの技術的欠陥は、当時のソフトバンクBBの企業文化の現れとして捉える必要がある。同社は、孫正義のリーダーシップの下、スピードと爆発的な顧客獲得を最優先する経営戦略を推進していた。2004年初頭、Yahoo! BBの契約者数は毎月10万件以上のペースで増加し、400万回線に迫っていた[30]。ADSL市場自体も成熟期を迎え、競争は激化の一途をたどっていた[31]。孫自身の経営哲学も、完璧を求めるよりは7割の勝算で迅速に行動することを是とするものであり、この思想が組織全体に浸透していた[32]。結果として、セキュリティ体制の構築と顧客情報を守るための基本的な投資と規律が疎かにされたとのみかたもある[28]。 政府の対応2004年4月14日、総務省はソフトバンクBBに対し、その不十分な個人情報管理体制を理由として、文書による行政指導を行った[33]。これは罰金などの直接的なペナルティを伴うものではないが、監督官庁による公式な是正勧告であり、企業にとっては極めて重い意味を持つ。総務省は、孫正義社長を直接呼び出し、指導内容を伝達するという、強い姿勢を示した[26]。 総務省が行政指導の根拠としたのは、「電気通信事業における個人情報保護に関するガイドライン」（平成10年郵政省告示第570号）であった。具体的に指摘された違反事項は「個人情報の適正管理」義務の不履行であり、135ものアカウントが顧客情報データベースにアクセス可能であったこと[29]、アクセスログの保存期間が1週間程度と極端に短かったこと[33]、データベースにアクセス可能な部屋への入退室管理で本人確認が徹底されていなかったことなどが挙げられた[33]。 法的措置刑事手続事件に関与したソフトバンクBBの元派遣社員やその協力者など、複数の個人が逮捕・起訴された[8][9]。適用された罪状は、不正競争防止法違反（営業秘密の不正取得）、不正アクセス禁止法違反、そして恐喝未遂罪などであった[34]。
民事訴訟本事件の法的影響としてより大きな意味を持つのが、被害を受けた利用者たちが起こした民事訴訟である。弁護士を含む5人の利用者が原告となり、サービス運営会社であるBBテクノロジー（ソフトバンクBBの当時の社名）と、その親会社であるヤフー株式会社を相手取り、精神的苦痛に対する慰謝料として一人あたり10万円の損害賠償を求めて大阪地方裁判所に提訴した[40]。
事件後の対応ソフトバンクBBの対応事2004年2月27日、代表取締役社長兼CEOの孫正義自らが記者会見に臨み、テレビカメラの前で深々と頭を下げて謝罪した[20]。孫氏自身の報酬を6ヶ月間50%減額するのをはじめ、担当役員も減給処分とするなど、経営陣が身を以て責任を取る姿勢を明確にした[20]。当初、殺到する苦情に対し、ソフトバンク側はお詫び状を郵送で送付[42]。それでも苦情が沈静化しないことから、Yahoo! BBの全会員に対して一律500円相当の金券を送付するという、前例のない規模の補償策を打ち出した[20]2004年3月4日、CISO（最高情報セキュリティ責任者）を新設し、常務取締役を任命。さらに、過剰であったデータベースアクセス権限者をわずか3名に限定し、アクセスログを半永久的に保存するなど、事件の根本原因に対応する具体的かつ抜本的な再発防止策を発表した[33]。 ソフトバンク社長の孫正義は、自由民主党の調査会で「（事件に関して）反省している」と答えたが、「実態は窃盗事件」「情報を盗んだものを処罰する法律がない」と付け加えた。 また、関連会社ソフトバンククリエイティブが発行している雑誌PC Japanは同誌のライターが本件に関与していた事が判明したことを受けて一時休刊を余儀なくされたものの、後に誌面内容や編集体制等を見直して復刊した。 業績への影響この情報漏洩事件は、ソフトバンクの業績に短期的な打撃を与えた。2004年3月期決算では、連結で1,070億円の当期純損失を計上し、その要因の一つとして本件が挙げられた[43]。事件の直接的な損害額は、会社公表で100億円を超えるとされる[43]。事業面では、事件発覚直後の2004年2月のYahoo! BB契約者数の純増数は11.4万件と、過去1年で最も低い伸びにとどまった。しかし、長期的な視点で見ると、事業への致命的な影響は限定的であった。 その他『日刊ゲンダイ』が一面で[44]創価学会幹部が流出事件に関与していたことを報道。またその2名が過去に創価学会が起こした言論出版妨害事件や宮本顕治宅盗聴事件にも関わっていたことから創価学会全体に盗聴をする体質があるのではと批判した[45][46]。ジャーナリストの段勲はフォーラム21の中で逮捕された4名のうち2名が創価学会員でヤフーBB代理店の役員を務めていた[47]ことから、2002年に創価学会員が起こした「携帯電話通話記録窃盗事件」を引き合いに出し、「携帯電話・通信記録の盗み出し、そして今回の事件。同事件はまだすべて解明されたわけでないが、流出した450万人に及ぶ個人データの行方が気になる」と締めくくっている[48]。 関連項目出典
関連項目
|
||||||||||||
Portal di Ensiklopedia Dunia
