通信教育大手ベネッセコーポレーションの顧客流出事件。
日本列島に激震が走る中、この事件の様相はますます底が見えなくなりそうだ….。
ベネッセが確認した流出事件は約2,300万件だが、警視庁に逮捕された元派遣社員のシステムエンジニアが複数の名簿業者に情報を売却していた疑いも浮上した。
件数は今後さらに増える可能性がある。
欠陥
100人近いシステムエンジニアが働くベネッセ関連会社の部屋。逮捕された容疑者は子供の住所や生年月日などが詰まった顧客情報をパソコンから自分のスマートフォンに転送した。同僚も充電のときには携帯電話をパソコンに繋いでいたことから、周囲は転送に気が付かなかったと警視庁はみている。
容疑者はベネッセの関連会社でデータベースのシステム開発を担当し、DBの情報を業務用パソコンにダウンロードする権限があった。顧客情報は外部媒体に転送できないはずだった…。しかし、容疑者は昨年7月頃充電のために新型スマートフォンを受電のためUSBケーブルでパソコンにつないだところ、情報を転送できるシステム上の欠陥に偶然に気が付いた。その後は保守管理の立場を悪用。
今年6月までに月に1~2回、述べ1億件以上の顧客情報を持ち出し続けた。
情報セキュリティ大学院の原田要之助教授は「私物の携帯をパソコンにつなげること自体が甘い。2千万件以上の個人情報が漏れたことに対して会社の意識が低い」と指摘する…。
中日新聞：総合3面
底が見えない顧客情報流出事件
ベネッセが確認した流出件数は2千万件とされているが、実際は1億件以上が流出したようだ…。通常、顧客のデータベースを扱う場合は権限をもったごく少数の管理者に限られ、情報を持ち出せないようにセキュリティをかけるのが一般的である。
また、データベースの管理者は特定の部屋の、特定のパソコンしか利用することが許されず、部屋への記録媒体（スマートフォン含む）も厳しくチェックされているのが普通なのだが…、どうやらベネッセはこの重要なデータ管理を下請けのさらに下請けに委託していたようだ。ベネッセほどの大企業にもなると顧客の情報管理はかなり厳格に徹底されていると思っていたが、どうやら情報セキュリティに関してかなりアバウトだったと言わざるを得ない。
私が以前勤めていた会社では、記録媒体の持込み禁止（チェックされる）、暗証番号（生体認証）がついた部屋、当然パソコンにアクセスするにはそれなりの権限がないと操作することすら出来ない状態だった…。ベネッセでの管理の方法や容疑者の仕事の全容がわからないため何とも言えないが、データが簡単に外部記録媒体に転送できていたことを考えると、容疑者はフル権限でアクセスしていたのだろうか…？
もしてや、容疑者は外部の人間である。外部の者にデータベースを扱う権限を与えていたこと自体も驚いた。それに、データーベースを扱える部屋に携帯電話を持って入室できたことが信じられない。
中小企業でさえ、これは徹底されていると思っていたのだが…。
深い谷に落ちたベネッセの今後…
今後ベネッセを相手取った集団訴訟が起こる可能性が高い。会見でベネッセは保証の費用を200億円確保したと言うが….現実は甘くないだろう。過去の顧客情報流失事件で裁判所が出した損害賠償費用は一人につき2千円~5千円ほどだ。仮に、1億件の個人情報が流出したとしたら、その費用は最高で1億×5千円で5千億円をゆうに超えるだろう。
とてもじゃないが、200億円では到底足りない…。
また、被害状況や規模もよく把握せずに会見で200億円と枠を設けたこと自体も消費者の印象を悪くした。ベネッセとしては早期解決を図ったつもりだったのだろうが、この顧客情報流出事件はまだまだ底が見えない状況だからだ。
一般消費者の立場で考えれば、ベネッセ関連商品の敬遠は当分の間続くだろう。売り上げは著しく落ち、さらに株価は低下、大量の顧客離れ、取引先の縮小、今後の補償費用の増加はもはや避けられない状況となってしまった。今までにも顧客情報を流出させた会社は数多いが、件数で言えば今回の事件はそれほど群を抜いているのである。
まさしく、「顧客の信頼を築き上げるのは数十年、失うのは一瞬」だ。だが、ベネッセの事件は日本全体でみれば氷山の一角である。顧客情報をずさんに扱っている会社はきっと我々が知らないだけで沢山存在するだろう。
（勢いのあるLINEもきっと同じことが言えるだろうが…）
ベネッセは今後さまざまな苦境に立たされだろうが、果たして一般消費者はベネッセに対してどんな審判を下すのだろうか…。再生か死か….今ベネッセは崖っぷちに立たされている。