要約
- 総務省は7月29日、KDDI に書面の行政指導を行い、厳重に注意した。
- 5月16日から6月17日までの外部からの不正アクセスで、メールアドレス、ログインパスワードなどが漏えいした。
- 盗まれた認証情報により約762万人のメールボックス内容が閲覧可能になったが、全件が開かれたとは発表されていない。
- 総務省は電気通信事業法第4条第1項が守る通信の秘密の漏えいに当たると判断した。
- KDDI には統治強化、再発防止策の実施、その実施状況の報告が求められる。
行政指導が新しい出来事である
KDDI は6月に不正アクセスの発生を公表している。したがって7月29日の意味は、侵入そのものを初めて知らせたことではない。総務省が事実を通信の秘密の漏えいとして位置付け、企業の自主対応を公的な是正と報告の段階へ進めた点にある。
最初の事業者発表は、KDDI が6月17日に不正アクセスを確認し、同日中に拡大を防ぐシステム変更を行ったと説明した。今回の文書は、個別の封じ込めだけでなく、責任者、管理体制、再発防止策、効果の確認方法を示すよう求める。
公表資料に金銭的制裁や免許取消しはない。厳重注意を存在しない処分へ読み替えてはならない。重要なのは、KDDI が「対策する」と述べるだけでなく、何を実施し、どう検証したかを報告しなければならないことである。
認証情報は通信内容への入口になる
対象は、KDDI が複数のインターネット接続事業者に提供していたメール関連システムだった。総務省によると、5月16日から6月17日まで外部から不正アクセスを受け、メールアドレス、ログインパスワード、その他のメール関連情報が漏えいした。
アドレスの流出と、利用可能なパスワードの流出は同じではない。アドレスは標的型の詐欺に使われ得る。パスワードは私信や添付資料に近づく手段となり、別サービスの再設定に悪用される可能性もある。盗まれた認証情報で約762万人のメールボックス内容を閲覧できる状態だったことが、通常の顧客情報事故を通信の秘密の問題へ広げた。
共通基盤では、一つの認証上の弱点が複数ブランドの利用者へ波及する。秘密情報の保管、異常なログインの検知、セッションの失効、利用事業者ごとの分離、連携先への迅速な証拠提供までが統制範囲になる。
「閲覧可能」と「閲覧済み」を分ける
約762万という数字は、影響を受け得た母集団を示す。総務省は漏えいした情報を使えば第三者が内容を閲覧できる状態だったと説明する。一方、攻撃者が762万すべてのメールボックスに入ったとは述べず、読まれたメール件数や内容も示していない。
この区別は被害を小さく見せるためではない。私的通信へ入る能力を外部者に与えた時点で、重大な秘密保護の失敗である。ただし、技術的な可能性を観測済みの行為に置き換えると、最大想定とフォレンジック上の確認が混ざってしまう。
次に必要な情報は、漏えいした認証情報、成功したログイン、メールボックスの一覧取得、メッセージの取得、その後のアカウント悪用を段階別に示すことだ。利用者への対応も、どの段階まで確認されたかによって異なる。
約1か月の期間は検知体制を問う
不正アクセスの開始は5月16日、確認は6月17日とされる。KDDI は確認日にシステムを変更して拡大を止めたが、それ以前の約1か月にどのような兆候があり、なぜ早く捉えられなかったかは重要な検証対象となる。
盗まれた正しいパスワードを使う攻撃は、単純なログイン失敗回数の監視をすり抜ける場合がある。接続地域、端末、時間帯、同時セッション、メール取得量などを通常行動と比較し、不自然な利用を見つける仕組みが必要だ。疑いが生じた時点で、セッション失効や強制的な認証情報更新を実行できるかも問われる。
報告書は、完了した対策、試験中の対策、未着手の作業を分けるべきである。誰が効果を確認し、同じ挙動を次回は何時間または何日で検知できるかまで示されれば、規程の追加より説得力が増す。
提供事業者が複数でも責任は途切れない
技術基盤を管理する KDDI と、利用者にメールサービスを提供する接続事業者が別である場合、ログを持つ組織と顧客へ通知する組織も分かれる。この分業が通信の秘密を守る責任の空白を生んではならない。
連携先には、影響対象の正確な範囲、パスワード変更の手順、事実を誇張も過小評価もしない説明が必要になる。KDDI は、各社がフィッシング、認証情報の使い回し、他アカウントの乗っ取りを評価できるだけの技術情報を渡す必要がある。
受託基盤を選ぶ企業にとっては、監査権、事故通知の期限、共通設備への集中リスクを契約時に確認する教訓でもある。運用を外部化しても、利用者が受ける秘密侵害の結果まで外部化できるわけではない。
評価は今後の実施証拠で決まる
総務省は通信の秘密の徹底した保護、再発防止、実施状況の報告を求めた。今後見るべきなのは、認証情報の更新、より強い認証、検知時間の短縮、責任の明確化、第三者による検証といった測定可能な動きである。
攻撃者の身元や所在、実際に開かれたメールボックス数、読まれた内容、締切後の対策効果は確認されていない。公開証拠がない部分を推測で埋めるべきではない。
今回の行政指導は、既知の事故を継続的に追える説明責任へ変えた。法的に守る対象が示され、KDDI は統制を修復し、後の報告でリスク低減を証明する。その循環が実データを伴うかどうかが、措置の実効性を決める。