ニュースの概要
ニフティは、回線の申込や受付を管理する社内向けのシステムに外部から不正にアクセスされたと発表した。2019年以降に「＠nifty光」「＠nifty MAX光」「＠nifty auひかりプラス」を申し込んだ顧客のうち、最大で54万2,513件の個人情報が外に出た可能性がある。影響を受けたのは、会社側が顧客情報を登録するための管理用システムである。お客様が直接使う申込サイトそのものではない点が、今回の特徴といえる。氏名や住所、連絡先といった情報は、回線の契約に欠かせない。それだけに、件数の大きさ以上に、どの入口から入られたのかが問われる事案である。
引用元: ニフティの回線申込・受付管理システムに不正アクセス、最大約54万件の情報漏えい可能性（Security Measures Lab）
分析・見解
狙われたのは顧客サイトではなく裏側の管理画面
今回のポイントは、被害が出たのが「お客様が触る画面」ではなく、会社側が情報を打ち込む「裏方の画面」だったことだ。顧客向けサイトは、外部公開が前提なので、日頃から守りが厚い。診断も頻繁に受ける。一方、社内や委託先の担当者が使う管理画面は、外から見えにくいぶん、守りが後回しになりやすい。
攻める側から見れば、ここは効率がよい。一件ずつ盗むのではなく、データがまとまった場所に一度入れば、数十万件を一気に持ち出せるからだ。
2019年以降という期間が示す、データの溜まり方
対象が2019年以降の申込者に及ぶ点も見逃せない。つまり、約7年分の申込情報が、同じ管理システムに残り続けていた可能性が高い。契約が終わった顧客のデータや、すでに使わない古い記録まで残っていれば、被害の範囲はそのぶん広がる。
過去には、通信販売や教育サービスの事業者でも、長年たまった顧客データが一度の侵入で流出した例が繰り返されてきた。共通するのは、守る範囲より保管する範囲のほうが速く膨らむことである。必要な期間を過ぎたデータを消す仕組みがなければ、システムは年々、狙われやすい宝箱になっていく。
回線事業者が構造的に抱える、申込窓口の多さ
光回線の申込は、自社サイトだけで完結しない。家電量販店、代理店、携帯会社との連携窓口など、入口が多い。そこから集まった情報を、最終的に一つの受付管理システムが束ねる形になりやすい。
入口が増えるほど、システムをつなぐ接点も増える。接点ごとに認証（＝本人確認の仕組み）の強さが違えば、最も弱い所が突破口になる。今回の侵入経路は現時点で詳しく示されていないが、この構造そのものが、回線業界全体の弱みだと考えるべきだ。
本人への影響は住所と契約情報の組み合わせにある
流出の可能性がある情報は、氏名、住所、電話番号といった基本情報が中心とみられる。クレジットカード番号が含まれないなら、すぐに金銭被害が出るとは限らない。
ただし、回線事業者を装った電話やメールには注意が必要だ。「工事日程の確認」「料金プランの見直し」といった、申込者しか知らないはずの話題を持ち出されると、人は信じやすい。契約先の名前や申込時期を知られていること自体が、詐欺の説得力を高める。
ビジネスへの影響
自社の管理画面と委託先の接続を総点検する
他人事と考えないことが第一歩である。顧客向けサイトの診断は済んでいても、社内の管理画面や代理店向けの入力画面は対象外、という会社は多い。まず、外部から到達できる管理用の入口を全て洗い出したい。
次に、パスワードだけに頼らない本人確認（多要素認証）を、管理者や委託先の全アカウントに広げる。あわせて、退職者や契約の終わった代理店のアカウントが残っていないかを確認する。これだけでも、侵入の確率は大きく下がる。
古い顧客データを持ち続けるコストを見直す
保管期間を決め、期限が来たら消す。この運用が、被害の大きさを左右する。7年分の情報を抱えた場合と、必要な2〜3年分だけを持つ場合では、同じ侵入を受けても漏えい件数が数倍違う。
消せない情報は、通常の業務データとは別の領域に分け、アクセスできる人を絞る。ログ（＝操作の記録）を残し、大量のデータを一度に引き出す動きを検知できるようにしておくと、発見が早まる。
事故後の初動と顧客対応を先に決めておく
発覚してから対応を考えると、公表が遅れ、信頼を失いやすい。連絡の窓口、対象者への通知方法、問い合わせ対応の人員を、平時に決めておきたい。顧客には、不審な電話やメールへの注意を、具体例つきで早く伝えることが重要だ。
回線を選ぶ側の企業も、契約先の事業者に、情報管理の体制を尋ねる時代になっている。価格や速度だけでなく、事故時の説明姿勢まで含めて比べたい。