年金機構情報漏えいから考える　企業は標的型攻撃にどう備える？

飯村正彦（ラック IR広報部）

基礎年金情報が流出！？

6月1日、私たちの基礎年金情報を含む個人情報が、日本年金機構より流出したと大手新聞社が報道し、日本中が騒然としました。125万件もの個人情報流出が報じられ、年金を生活の糧とする高齢者が年金機構窓口に詰め寄る騒ぎになりました。

事件の流れは次のようなものでした。5月8日に内閣サイバーセキュリティセンター（NISC）が同機構からの不審な通信を検知し、厚生労働省と機構に通報。機構が被害PCを特定し、PCをインターネット接続から切り離しました。機構職員がウイルス付きメールを開封したのが原因と報じられました。機構は見つかったウイルスを、ソフトウェア会社に提出して判断を仰ぎましたが、ウイルスを駆除して対応を完了させてしまいました。

その後も、不審な通信が継続して発信されていることが判明し、同18日に警察に相談。警視庁のサイバー捜査が始まり、侵入したウイルスに指令を出していた指令サーバーが港区の海運会社にあることを突き止め、それを押収しました。指令サーバーの通信記録や残された情報から情報流出が判明したのです。

サイバー捜査から判明したのは、機構が受けたのは「標的型サイバー攻撃」と呼ばれる巧妙なもので、情報を摂取することを狙った悪質なものだったということです。