2023年7月6日、KDDIはISP事業者向けメールシステムが不正アクセスを受けた件について、メールアドレス1223万件以上、パスワード761万件以上の情報漏えいが確認されたと発表しました。不正アクセスは6月17日に発覚し、原因はサードパーティソフトウェアの脆弱性が悪用されたことによります。現時点で「au メール」「UQ mobile メール」などの一般ユーザー向けメールサービスへの影響はないとされていますが、同社は対応策としてパスワード変更やシステム検証を進めています。また、原因ソフトウェアについては詳細を明らかにしていません。

この事件は社会問題や制度の欠陥を含むため「批判型」で対応します。

KDDIという大手通信事業者で発生した今回の大規模な情報漏えい事件は、企業のセキュリティ体制に対する信用を深く揺さぶるものです。

サードパーティソフトウェアの脆弱性によって情報が漏えいしたという現状は、外部技術に依存した結果、ユーザーに甚大な不利益が生じるリスクを見過ごした典型例といえます。

問題の根本にあるのは、脆弱性を放置したシステム監視体制の不備です。さらに不正アクセス発覚から漏えい確認までの遅延や、原因ソフトウェアの非公開対応は、透明性を欠いた姿勢を露呈しています。これは顧客の信頼を守る責務を怠ったものとして批判されるべきでしょう。

再発防止策として、まず顧客情報保護に関する基準を強化した内部監査体制を構築すべきです。次に、セキュリティの脆弱性を早期発見する監視技術を導入するほか、脆弱性の公開を迅速に行い情報を共有する姿勢に転換する必要があります。さらに、漏えいが確認された利用者に対する賠償や被害防止策の提供が急務です。

企業の利益追求に優先するのは、社会的責任の履行です。信頼を失する行為は、長期的には市場競争力すら削ぐ結果を招きます。これを機に、セキュリティへの徹底した投資と信頼性の回復を掲げ、二度と同じ過ちを繰り返さないことが求められます。

ネットからのコメント

1、最近、不祥事があっても会見を開かない企業が多いけど、KDDIもそのタイプかなぁ…特に「IT企業」のトップが矢面に立った場面を見たことがない。 確かに「不正アクセス」の被害企業かもしれないけど、その企業のユーザーが最大の被害を受けているはず… 企業のトップはまずその被害者に対して矢面に立って誠意を見せるべきだと思う。

2、私もよくお漏らしするので人のことは言えませんが、今回の件は、auメールなど主要サービスに影響がなかったとはいえ、約1223万件ものメールアドレスと約761万件のパスワードが漏えいした事実は非常に重く受け止めるべきです。原因がサードパーティ製ソフトの脆弱性だったとしても、それを適切に管理・対策する責任はKDDI側にもあります。さらに、原因となったソフト名を公表しない姿勢も、利用者からすれば不安が残る対応と言わざるを得ません。再発防止策だけでなく、より透明性の高い説明が求められるでしょう。

3、最近は大手企業からメールアドレスやパスワードの漏えいニュースが相次ぎ、そのたびに「パスワードを変更してください」と案内が来ます。

何回か変更すると、どのサービスがどのパスワードだったのか、正直混乱します。不正利用を防ぐためにはパスワードを変更しないといけないのでしょうが、何度もパスワード変更を求められる状況そのものを、企業側には減らしてもらいたいです。

4、少し前にアフラックの漏洩があったばかりですよね。日本のセキュリティがいかに甘いか分かりますね。こんな事が続くと次はどこかと思うし、まだ発覚してないだけで既にやらかしてるところもあるんじゃないのと思いますよ。社会がネット無くしてはもう成り立たないのだからセキュリティはもっと堅固でなくては。