2023年、NTT西日本の子会社の元派遣社員が内部不正によって、顧客情報の持ち出した事案は衝撃的だった。不正に流出された個人情報は900万件以上に及ぶという。しかも、10年近くにわたっていたというから、その驚きははかりしれない。
こうした個人情報は不正に持ち出されたあと、どうなるのか。企業としてどのような対策が必要か。そして、情報を盗み出す人の心理とは。J-CASTニュースBiz編集部は、詐欺・悪質商法ジャーナリストの多田文明氏に話を聞いた。
-
企業の危機管理について語る多田文明氏（編集部撮影） -
「闇の名簿屋」について語る多田氏（編集部撮影）
個人情報の900万件以上の流出 3つの問題点
――2023年10月に明らかになったNTT西日本の子会社での不正流出（※編集部注）は、約900万件に及ぶ大規模なものでした。しかも、10年にわたって流出させていた可能性があり、驚きます。どうしてこれほどの大事が、これまで明るみになっていなかったのか。背景として、どのようなことが考えられますか。
多田文明氏 企業の危機意識が低いことが挙げられると思います。今回のNTT西日本の子会社と類似のケースとして、2014年に通信教育大手のベネッセコーポレーションが顧客情報の流出を起こしていますが、その時の教訓がまったく生かされていなかったと感じます。
――ベネッセの事案では、最終的に流出した顧客情報は3500万件以上でした。
多田氏 そのうえ今回のNTT西日本の子会社の件では、1年前にもクライアントから「自社の顧客情報が流出しているのではないか」と問い合わせがあった。しかし、調査したが、その時点では把握できなかった、ということでした。このあたりにも不備を感じます。なぜ、そこで突き止められなかったのか、と。今回、システムの運用保守業務従事者が流出させているので、あらゆる人が情報を持ち出せる環境にあった点も問題ですね。
（※編集部注）
NTT西日本の子会社にあたる、株式会社NTTマーケティングアクトProCXと、NTTビジネスソリューションズ株式会社は2023年10月17日、顧客情報の約900万件が不正持ち出しによって、流出したと発表した。
発表資料や報道によると、不正流出に携わったとされるのは、NTTビジネスソリューションズの元派遣社員。コールセンタシステムの運用保守業務の従事者だった。同氏はシステム管理者アカウントを悪用し、サーバーへアクセス。業務で使用していた端末などから、顧客情報を不正にダウンロードして持ち出されていたという。
ファイル更新日時情報から、持ち出しが発生したのは2013年7月ごろから。約10年にわたって不正に持ち出された情報は900万件以上、クライアント数は59。流出した情報は、氏名、住所、電話番号など。81件は、クレジットカード情報が含まれていることが確認されている、とした（23年10月時点）。
――そうした問題点については以後、対処策を徹底するとともに、情報管理の体制強化を図るということです。ところで、こういった情報流出をさせてしてしまう人の心理とは、どのようなものでしょうか。
多田氏 お金欲しさがあるでしょう。
――お金、ですか......。
多田氏 そうです。今回のケースが必ずしも当てはまるかどうか、また現時点（2023年12月末）ではどのような素性の名簿業者に売却されたかも明確な報道がないので、あくまで一般論としてお話ししましょう。
そもそも「名簿業者」には正規のものと、そうでないものがあります。正規の名簿業者は関係機関に届け出るなど認可制になっています。これらの情報は、営業など企業活動に活用されます。一方で問題なのは、不正な手法で個人情報を入手する「闇の名簿屋」です。
――「闇の名簿屋」ですか？