年金情報漏洩事件

2015年6月1日、日本年金機構の情報系システムから約125万件の年金情報（基礎年金番号を含む個人情報）が漏洩したことが新聞・テレビなどで報道された。流出件数が多いこと、来年（2016年）にマイナンバー制度の運用開始を控えていることなどから大きなニュースとなった。当然、IT関係のメディアでも本件の原因や対策などが報じられるだろう（ぼちぼち報じられ始めている）。

この事件は（その手口を見ると）、典型的な標的型攻撃メールである。「情報セキュリティ白書 2014」（IPA：独立行政法人情報処理推進機構 発行）によれば、標的型攻撃メールとは、
「攻撃者が組織内ネットワークへの侵入を行う目的で、特定の企業・組織を狙い送付するウィルスメールである。不特定多数にばらまかれるウィルスメールの手口とは異なり、特定の企業・組織（個人）を狙い、受信者を信用させる巧妙なだましの手口を駆使している点が特徴」
である。今回の年金機構の事件でも、職員がメールに添付されたファイルを不用意に開き、ウィルス感染したのが事の始まりだったようだ。同白書によれば、一般的な標的型攻撃メールは以下の手順で行われる。

①攻撃計画の立案
攻撃対象とする組織を選定し、ウィルスを感染させるユーザーを調査する等の攻撃計画を立案する。
②攻撃準備
ウィルス作成・標的型メールを準備する。
③初期潜入
標的型メールをターゲットユーザーに送付して、PCをウィルスに感染させる。中にはWebサイトやVPNサービス経由による侵入手段も確認されている。
④基盤構築
感染パソコンにバックドアを開設し、攻撃者との通信路を確保する。
⑤内部侵入・調査
リモートからバックドア経由でシステム内部を調査し、侵入範囲を拡大する。
⑥目的遂行
目的の情報を窃取する。場合によっては、データの改ざんや削除を行う。
⑦再侵入
開設してあるバックドアを通じて、執拗に再侵入が行われる。

となっている。この一連の手口を見ても分かるように、標的型攻撃メールは組織的に、計画的に行われる犯罪行為である（読売新聞は、クラウディオメガと呼ばれる組織による攻撃だと報じていた）。攻撃対象となっているのは、官公庁・地方自治体が最も多く、その次に金融機関、マスコミ関係、IT・通信が続く。
標的型攻撃メールは特定の対象組織に絞って攻撃を仕掛けるので、セキュリティ対策ソフトのベンダーがウィルス検体を入手しづらいのが特徴である。攻撃者はウィルスの亜種を作成し、あらかじめウィルス対策ソフトに検知されないことを確認してから攻撃を仕掛けるという話も聞いたこともある。

今回の事件報道を受けて、世間の主な関心は、今後「何らかの成りすまし行為」などが行われるのではないか、という点にある。また、来年から運用が始まるマイナンバー制度でも、同じような個人情報の流出が起こるのではないか、という懸念も出ているようだ。
このような事件が起きると、事業者がいくらシステム的には強固なセキュリティ対策をとっていると弁明しても、なかなか世間の納得を得ることが難しくなってくる。システム的には強固なセキュリティ対策がとられている場合であっても、内部犯行や、（故意の）誤ったシステム運用には弱いものだ。今回の事件でも、本来パスワードをかけるべきファイルにパスワードをかけていなかった、個人情報をローカル保存しているパソコンをインターネットに接続していた、等の内規違反や情報モラルの低さが露呈している。
情報セキュリティ白書でも、標的型攻撃メールの対策として、「システム面での対策の他に、メール利用者に対するセキュリティ・リテラシーの教育や・・・」としており、システムを操作する人、利用する人のセキュリティに対する認識が極めて重要であると指摘している（なお、システム面に関してはIPAから「標的型メール攻撃に向けた設計ガイド」が出ている）。
今ひとつ世間の人々が憤慨しているのは、事件の原因の一つにガバナンスの問題があると考えられるからだろう。日本年金機構の前身である社会保険庁では、第1次安倍内閣当時の2007年に年金記録問題が起きている。そして、この原因の一つに社会保険庁のガバナンスに問題があったことが指摘されている。
この年金記録問題、あらためて当時の情報を検索してみると、如何に大きな社会問題であったかが分かる。
・2007年2月、納付者を特定できない国民年金や厚生年金の納付記録が5,000万件以上あることが発覚（宙に浮いた年金記録）。
・2007年8月、一部の社会保険庁職員が不正なオンライン操作を行って年金の不正受給や着服を行っていたことが発覚。
・2009年9月、オンライン上の記録のうち、標準報酬月額が改ざんされた可能性の高い記録が、6万9000件あることが判明。
年金記録問題検証委員会の報告書は、厚生労働省及び社会保険庁の年金記録管理に関する基本的姿勢に根本的な問題があったと指摘している。
こうして社会保険庁は2010年に解体され、日本年金機構が設立された。新しい機関になっても年金記録問題の反省や再発防止策が活かされていないのではないか、と世間が疑うのも致し方ないだろう。

個人情報／プライバシー情報を扱う企業・組織は、システム面の対応だけでなく、社内規定の整備や従業員に対する情報モラルの教育、そして管理面を含む組織態勢の確立が極めて重要である。
一般に、大企業と比べてこれらの態勢が脆弱な中小企業にとって、マイナンバー対応が如何に大きな負担になる可能性があるか、あらためて認識させられる事件である。