委託元からの漏えいの照会に、調査担当は絞ったログを付けて、内部からの流出はないと答えた

おはようございます。昨日は、米国の信用情報大手で、ソフトの脆弱性の警報メールが約430人に届いたのに、直すべきシステムの担当者が正式に決まっていなかった事案でした。

今週最後の今日は、警告が社外から、正面に届いた事例です。委託元の企業が、自分の顧客の情報が外に出ていると突き止め、受託側に調査を頼みました。その照会がどう扱われたかを、国内の社内調査委員会の報告書で読みます。

国内の大手通信会社グループに、テレマーケティングを請け負うコールセンターの子会社と、そのシステムの保守を担う子会社がある。委託元の企業から預かった顧客情報は、保守子会社が管理するサーバに入っていた。

2023年7月、保守子会社の社屋に警察の捜索が入った。報告書によれば、保守を担当していた元派遣社員が、少なくとも2013年7月頃から2023年2月頃まで、顧客情報を持ち出して名簿業者に売っていた。流出は委託元69団体、928万件にのぼる。この保守担当者は、2008年から約15年、このシステムの保守に携わっていた。

その1年あまり前に、警告は届いていた。

2022年の初め、ある委託元の企業に、自社の顧客から問い合わせが続いた。貴金属の業者から似た営業の電話が来た、という内容だった。委託元の役員は業者を訪ね、業者が使う顧客リストに自社の顧客の情報が載っているのを確かめた。漏れた顧客の情報は、どれもコールセンター子会社に渡したものだった。委託元は、流出元は自社の内部か受託側の「ほぼ二択」と見て、3月末に県警に相談した。

2022年4月4日、委託元の本社で面談が開かれた。委託元は、コールセンター子会社の社長らに、漏えいの事実と、県警に相談していることを伝え、サーバや防犯カメラの映像などのデータの保全と、内部から流出していないかの調査を求めた。

照会を受けて、2社の担当者4人が、4月から7月にかけて調べた。結論はこうだった。実際には、本件過去調査の時点で X による本件不正持ち出しが 9 年以上にわたって行われていたにもかかわらず、本件過去調査において、本件調査担当者らは、A 社に対して、内部からの顧客情報の流出は確認されなかった旨の報告を行った。

ここが今日の分岐点である。4人は、何を見て、誰に聞いたか。

委員会によれば、本件調査担当者らは、エクスポートログについて十分な調査を実施せず、本件過去調査の初期段階で、短時間のうちに表面的にログの検討を行っただけで、内部からの情報流出はないと一方的に結論付けていた。 委員会は、照会の前提もこう書く。本件過去調査に先立って、本件調査担当者らの一部の者は、A 社の顧客データの漏洩については警察による捜査が進められていることを通知されていた。

5月2日、担当者の1人で、保守担当者の上長でもあった課長は、ログの調べ方について、社内チャットでもう1人の課長にこう送った。

吉報になります。PDS 画面を触る行為とデータをエクスポートする行為については、同じ ID、PASSWORD になりますが、X さんに聞いたところ、保守用の ID、PASSWORD を利用しているようです。なので、ログについてはこの保守用を調査すればと思いました

文中の「Xさん」が、実際に持ち出していた保守担当者である。委員会は、課長が調査の依頼を伏せたうえで本人に保守作業で使うIDを尋ねていたことを、担当者らが本人を疑っていなかったことの裏付けとして挙げている。

5月9日の夜、ベンダーから、顧客データの出力の記録(ログ)が届いた。翌10日、担当者はベンダーに項目の意味を電話で聞いたうえで、このログに1日で4回手を加えた。1回目はこうである。「レポート ID」に「ネオメイト」「NEO」「TEST」「B 社」が含まれるもののみを残して、それ以外のダウンロード履歴を全て削除する。その後も、ダウンロードした件数の表示を消し、同じ日の履歴は最初の1件だけを残し、端末のIPアドレスを今の保守拠点のものに書き換えた。回答の文面には、こう書かれた。当社テスト環境によるキャンペーン出力結果しかございませんでした。 翌5月11日、この回答とログが委託元に送られた。ログに手を加えた中身は、委託元に伝えられなかった。

「TEST」などの名前は、テスト用のデータであることを示すものではなかった。出力する人が自由に付けられる名前だった。委員会はこう書く。本件調査担当者らが最大の拠り所としたログ調査の結果は、ログの誤読によって生まれたものであった。

委員会は、調査担当者らが流出を知りながら積極的に隠したとまでは認めていない。評価はそれより厳しい。担当者らは、内部からの情報流出を発見するにすら至らなかったものだった、という。回答は7月まで計7件にのぼり、一部には虚偽の回答も含まれていた。持ち出しは、翌2023年2月頃まで続いた。

報告書によれば、調査担当者らが内部からの流出はないと結論づけたのは、どの段階だったか。

正解: 2

解説: 委員会は、担当者らが初期の段階で、短時間のうちに表面的にログを見ただけで、一方的に結論づけたと書いた。その後の回答とログの絞り込みは、この結論に沿って進んだ。本便では、最初に出した結論が、その後に出すログの形まで決めていたと読んだ。

誤答の罠: 1を選びたくなる。4か月で7件の回答を出しているので、調べ尽くした末の結論に見える。報告書が書く順番は逆で、結論が先にあった。

委員会は、調査担当者らの対応をどう評価したか。

正解: 2

解説: 委員会は、ログの改変と一部の虚偽の回答を認めたうえで、担当者らは流出を知っていたとは認められず、発見するにすら至らなかったと評価した。そのうえで、関わった者のうち誰一人として、関係各所へのエスカレーションや情報共有をすることなく調査が進んだとも書いている。本便では、照会は正面から届いていたが、社内では、調査を担った4人と、照会を知っていた社長らの範囲にとどまっていたと読んだ。

誤答の罠: 1を選びたくなる。ログを削り、IPアドレスまで書き換えているからである。委員会もその観点で検証したが、担当者らが別の流出元の可能性を検討していたメールなどから、隠したとは認めなかった。

以下は、この事例を参考にした仮想の場面である。重要な委託元から、こう言われた。「御社に預けた顧客情報が外に出ている。流出元は当社か御社のほぼ二択で、警察にも相談している」。あなたは受託側の担当部長である。最初の1週間でやることとして、本便が勧めるのはどれか。

正解: 2

解説: この事例では、少人数で短時間にログを見て結論を出し、仕組みを当の保守担当者に聞き、委託元に出すログから多くの履歴を削った。報告書は、社内へのエスカレーションと、委託元との対話が欠けていたと書く。調べる人を運用から切り離し、ログを原本のまま残し、分かったことと分からないことを分けて答える、という手順は、報告書の提言でなく、本便の提案である。

誤答の罠: 1と3は、この事例で実際にとられた対応に近い。社内の事情に一番詳しい人に聞くのは自然な手順に見えるが、照会の対象には、その人が運用している仕組みそのものが含まれていた。

今週の最後にこの事例を選んだのは、警告が社外から、はっきりした形で届いていたからです。委託元は、顧客の問い合わせを手がかりに業者のリストまで確かめ、流出元を二択に絞り、警察に相談したうえで、受託側に調査を頼んでいました。

私が重く読んだのは、照会を受けた後の調べ方です。調べる4人が、調べられる仕組みを運用する人に仕組みを聞き、自分たちの結論に合うようにログを絞って出していました。報告書によれば、コールセンター子会社には、情報が漏れたおそれが生じたときの具体的な対応手順を定めた規程がありませんでした。保守子会社には、重大な漏えいのおそれが生じたときに親会社の部署などへの報告を求める細則がありましたが、照会を知っていた人の誰も、社内の関係部署に上げていませんでした。ログは記録されていましたが、定期的に点検する運用はなく、点検する担当者も決まっていませんでした。

外から、情報が漏れていないかと聞かれたとき、私はまず、誰が調べ、誰に聞かずに済ませるかを決めるべきだと考えています。照会への答えが早く出ることより、答えの根拠になったログを、手を加えない形で相手に渡せることのほうが、私は大事だと考えています。

今日、自社が社外から預かっている情報を扱うシステムを1つ選び、そのアクセスや出力の記録を、システムの運用担当者を通さずに、誰が原本のまま取り出せるかを確かめる。決まっていなければ、取り出せる人の名前を1人書いておく。

今週は「警告は出ていた」をテーマに、報告書や当局の文書を5本読みました。国内3本、海外2本です。

月曜、精密部品を作る国内の上場メーカー。測定器につないだパソコンの画面には、規格を外れた測定値が出ていた。検査担当者がSキーを押すと、1990年頃に作られたプログラムが数値を規格内に修正し、保存を選ぶと修正後の数値が保存された。2000年代に品質保証部長がプログラムの削除を指示したが、担当者は従わなかったと述べている。

火曜、米大手銀行グループのロンドンの証券子会社。発注画面に711件の警告が出たが、スクロールせずに見えたのは最初の18行だった。トレーダーは解除できる警告をまとめて解除して先へ進んだ。注文の監視は休暇の予定のため別のデスクに引き継がれた直後で、そのデスクは284件の情報アラートを上げなかった。

水曜、繊維事業を持つ国内の上場持株会社の子会社。売掛金が与信枠の一定割合に達すると警告が出て、担当の課長に照会が行ったが、答えが返ってくればそれで終わっていた。答えたのは、架空の循環取引を回していた副部長本人だった。取引先への売上が与信の限度額に達すると、副部長は別の3社にその取引先との間に入ってもらい、限度額に当たらないようにした。

木曜、米国の大手信用情報会社。重大な脆弱性の警報メールは約430人と複数の配布リストに届き、48時間以内に直すよう求めていた。社内の方針が定める直す担当者は正式に指名されておらず、通信を検査する装置は証明書の期限切れで19か月、その環境の通信を見ていなかった。

金曜、今日取り上げた、国内の通信大手グループの子会社。委託元からの漏えいの照会に、調査担当者は保守担当者本人に仕組みを聞き、手を加えたログを付けて、内部からの流出はないと答えた。

5本とも、警告にあたるものは原文に記録されていました。画面の測定値(月曜は、規格を外れた測定値そのものを本便が警告と読みました)、ポップアップ、与信の警告、警報メール、委託元からの照会です。止まったのは、警告を受けた後でした。画面の数値は修正されて保存され、18行しか見えない画面で先へ進み、答えが返ってきた時点で照会が終わり、指名された担当者のいない宛先にメールが届き、警告を受けた側が自分たちの結論に合わせてログを絞りました。本便の読みでは、5本に共通していた分かれ目の1つは、その警告が誰の名前に届き、何をすれば閉じることになっていたか、でした。

あなたの会社で、取引先や顧客から「問題が起きていないか」と照会を受けたとき、調べる担当は、普段はどう決まりますか。

このメールに返信して、A〜Dの一文字だけ送っていただければ十分です。

このシリーズ「朝3分の分岐点」は平日毎朝、実際の事件から「判断の型」をひとつお届けします。来週もよろしくお願いします。

PS(いつでも・何度でも): 最近、「このルール何のためだっけ」と思った瞬間はありましたか。
一行で返信いただければ、必ず私が読んで、私が返します。