この数年、ウィルスによる個人情報の流出が多発してるにも関わらず、大手企業はセキュリティをどう感がているのでしょう。結局、個人が被害にあう場合が多く体制にかなり問題があると思われます。

　今後は、政府も何か対策をしないと日本においてネットでの販売やクラウドでのデータ管理も怪しくなってくるのではと門われます。

2006年12月、ジェイティービー（JTB）本社ビルのパソコン800台にウイルスが感染したが、12月23日と24日の両日、延べ120人が集中的に対応して600台を復旧。12月25日には業務を再開できた。

　大手旅行会社のJTBは14日、海外からの不正アクセスによって、最大で約793万人分の個人情報が流出した可能性があると発表した。取引先を装ったメールの添付ファイルを開き、ウイルスに感染したのが原因。JTBは警視庁に被害を相談し、警視庁は不正指令電磁的記録（ウイルス）供用や不正アクセス禁止法違反などの容疑も視野に調べている。

　流出した恐れがあるのは「JTBホームページ」「るるぶトラベル」などのオンラインを利用して、2007年9月28日から16年3月21日に予約した顧客の個人情報。項目は（1）氏名（2）性別（3）生年月日（4）メールアドレス（5）住所（6）郵便番号（7）電話番号（8）パスポート番号（9）パスポート取得日。パスポート番号のうち約4300件は現在も有効という。

　提携するNTTドコモの旅行サービス「dトラベル」を利用した33万人分の情報も含まれている可能性がある。クレジットカード番号、銀行口座情報、旅行の予約内容は含まれていないという。現時点で個人情報が悪用された被害は報告されていないとしている。

　JTBによると、旅行商品をインターネットで販売する子会社「アイドットJTB」のサーバーに今年3月、取引先の航空会社を装って航空券購入を確認するメールが送りつけられた。オペレーターが添付ファイルを開封したところパソコン6台とサーバー2台がウイルスに感染し、海外への不審な通信が確認された。

　特定の企業の情報を盗むため、取引先を装うメールは「標的型メール」と呼ばれる。3月に不正アクセスされ、公表が6月になったことについて、JTBは「不安と混乱を招くと考え、特定できた段階で公表する方針を取った」と説明している。

　JTBの高橋広行社長は東京都内で記者会見し、「お客様の大事な個人情報を預かる立場として深刻に受け止めている。被害があった場合はしかるべき対応をしたい」と陳謝した。JTBは顧客が登録したメールアドレス宛てに連絡する一方、電話による相談窓口を開設した。

問い合わせは専用のフリーダイヤル
0120-589272

　企業の個人情報をめぐっては、通信教育大手のベネッセホールディングスで14年に約3500万件の流出が判明した。2015年には日本年金機構に標的型メールが送られ、基礎年金番号や氏名など101万人の個人情報が流出した。

遅れた外部接続遮断、被害拡大防ぐ対策必要

　JTBは14日、最大793万人の顧客情報を流出させた可能性がある問題について、取引先を装った標的型メールが原因だったと発表した。近年、標的型メールによるサイバー攻撃が増加し、その手口も巧妙化。感染すればネットワーク全体に被害が広がるだけに、企業には一層のサイバーセキュリティー対策が求められる。

　JTBによると、3月15日に「顧客の旅行内容を確認する」などと取引先の航空会社を装ったメールの添付ファイルを開封し、インターネット販売子会社のパソコンがウイルスに感染した。送り主不明のメールは開封しないという規定はあったが、取引先を装っており、文面も不自然でなかったため、「（開封は）やむを得なかった事情がある」（JTB）とみている。

　JTBには契約している情報セキュリティー会社からサーバーへの不正アクセスの痕跡があるとの通報があり、20日以降に外部との通信遮断作業を始めたが、作業が完了したのは25日だった。個人情報が流出した可能性のあるデータは21日に不正に複製されており、外部接続を早期に遮断していれば被害を防げた可能性が高い。同社は「標的型メールへの認識が十分でなかった」と釈明した。

　今回の情報流出と同様に近年は「標的型」と呼ばれる攻撃が増加している。三菱総合研究所社会ICT事業本部サイバーセキュリティグループの村野正泰グループリーダーは「標的型メールではファイルを不用意に開かないことは重要だが完全に防ぐことは難しい」と指摘した上で、「次善の策としてファイルを開いても、いかに被害拡大を防ぐかが重要になる」と話す。そのために専門家が指摘するのが、被害拡大を防ぐためのシステム構築と、専門人材の採用・育成を含めた企業内の体制作りだ。

　国も年々、深刻化するサイバー攻撃を重大視しており、経済産業省は昨年、「サイバーセキュリティ経営ガイドライン」をまとめた。

　ただ、日本企業の対策は海外に比べて遅れている。それは「セキュリティー関係の人材不足や、経営陣が個人情報流出で発生する経営リスクを十分に理解していない」（村野氏）からだ。また、サイバー対策にかかるコスト問題もあり、経営陣がちゅうちょする傾向もあるという。JTBは7月にITセキュリティー対策の部門を設置することにしたが、情報流出を起こしていない企業にこうした対策が広がるかは見通せない。