事故後の対応が致命傷 ＜サイバー＞年金情報が大量流出

日本年金機構を管轄する厚生労働省も責任は重い（写真は会見する塩崎恭久厚労相）（KPS）

6月1日に明るみに出た、日本年金機構による約125万件もの個人情報流出。公的機関では史上最大の情報漏洩となった。

原因は職員に届いた偽装のメール＝標的型攻撃メールで、「『厚生年金基金制度の見直しについて（試案）』に関する意見」というファイルが添付されていた。職員がこのファイルを開いてしまったため、ウイルスに感染し、そこから機構内のファイル共有サーバーにある125万件のデータが盗まれた。攻撃者は年金機構にターゲットを絞って情報を盗んでいる。

今回の流出には問題点が三つある。一つ目は職員のセキュリティ意識の低さである。安易に添付ファイルを開かないような教育が必要だが、業務に関係したタイトルにするなど、「開けなくてはならない」と思わせる手口を使っている。教育しても被害をまったくゼロにするのは難しい。

二つ目は、年金という重要な国民のデータをファイル共有サーバー上に置き、職員が作業したこと。パスワードなしのファイルが約55万件もあったことから、データ管理と作業が分離されていなかったことは明らかである。

三つ目が事故後の対応だ。最初は5月8日、内閣情報セキュリティセンターの指摘で福岡での感染が発覚したが、職員に注意喚起する間、東京でも別の職員が感染。ようやく警視庁からの連絡で情報流出が判明し、インターネットを遮断したのは5月29日のことだった。この間にも犯人はファイル共有サーバーにアクセスした公算が高い。