個人情報保護委員会、4〜6月に民間98件を指導。不正アクセスが中心で、脆弱性の放置と弱いパスワードが目立つ

01発表されている数字

「不正の目的」は、不正アクセスなど、不正な目的で行われたおそれがある漏えいを指す報告の区分です。数字は公表時点のもので、年次報告などで改められることがあります。

02指導された主な原因

委員会は、不正アクセスによる漏えいの原因として、次の3つが多いとしています。

1. VPN機器や、ECサイトを作るアプリケーションなどの脆弱性が公表され、対応方法も出ていたのに放置していた
2. IDとパスワードが推測されやすいものだった
3. 設定ミスで、データベースへのアクセス制御が適切でなかった

事例には、VPN経由で入られてランサムウェアに感染した例が複数あります。ほかにも、通販システムのSQLインジェクションの脆弱性が長年放置されていた例、予約サイトのデータベース管理システムが構築時からサポート切れの版だった例、宿泊施設の予約管理システムで、過去にも被害があったのに運営者が勧めるIPアドレス制限をしていなかった例が載っています。従業者がサポート詐欺に遭ってPCを遠隔操作され、業務に必要のない人にも顧客データを見られる権限を与えていた例もあります。委託先の事故では、委託元も監督の不十分さで指導されています。

03読者への影響

指導の理由の多くは、特別な攻撃ではなく、公表済みの脆弱性やパスワードといった基本の不備です。不正アクセスの事案では、委員会は事業者に警察やIPAへの連絡を促しているとしています。

04今すぐやること

1. VPN機器とWebシステムの版を確かめる。メーカーの最新版か、サポートが終わった版を使っていないかを見ます。
2. VPNと管理画面のパスワードを見直す。推測されやすいものは変え、多要素認証を有効にします。使っていないアカウントは消します。
3. データベースと共有の権限を絞る。顧客データを見る必要のない人の権限を外し、外から届かない設定かを確かめます。
4. 委託先の対応を確かめる。サイトや予約システムを任せている会社に、脆弱性への対応とIP制限などの設定を聞きます。
5. 漏えいの報告は遅らせない。報告の遅れだけで45件の指導がありました。手順を事前に決めておいてください。