神奈川県 2019年 返却したハードディスクの転売

県はリース期間の終わったサーバを、初期化してリース会社へ返した。消去を請け負った会社の社員が、作業の前のハードディスク18本を盗んでオークションに出し、落札者が復元ソフトで県のデータを取り出した。初期化はフォーマットで、データは媒体に残っていた。県の手を離れる時点で読めるデータが残っていれば、その先の全員を信じることになる。

2019年12月の神奈川県の記者発表、2021年1月5日時点の県の経緯と質問への回答のページ、2020年1月の県の情報流出防止策に沿って書いています。盗まれた時期、盗んだ社員、ほかの顧客の機器の扱いは県の発表の対象外である。手当ての時点は、2020年12月25日の富士通リースとの和解の契約までです。

要点

  • 盗まれたのは、396本のハードディスクで1つのサーバとして動く装置のうちの18本。18本ともオークションで落札され、2019年12月21日までに全部を回収した。
  • 県は返す前に初期化していた。県の防止策は、フォーマット後の状態だったが、購入者が復元ソフトを使ったことで県のデータが外に出たと書く。
  • 契約は、リース会社が復旧できない方法で消去すると決め、消去証明書を求めていた。職員の立会いは求めておらず、証明書は最後まで出なかった。
  • 県は、根本の原因を、契約の内容の不備と、履行を確かめる作業の不備とした。
  • 根本の直しは、県の管理下を出る前に、県の職員の目の前で、復元できない状態にすること。契約、記録、監督はその手順を支える。

何が起きたか

2019年11月26日に情報提供の仲介者から連絡があり、12月5日に盗難が判明、12月6日に公表、21日に全部を回収、2020年1月27日に防止策を決め、12月25日に和解した 2019年11月26日 仲介者から県へ データの確認の依頼 12月5日 消去の作業前の 18本の盗難が判明 12月6日 県が公表 消去の会社が告発 12月21日 18本すべてを 回収 12月27日 復元データの 消去の報告 2020年1月27日 情報流出防止策 を決定 2020年6月4日 消去証明書は 出せないと回答 2020年12月25日 リース会社と 和解の契約 盗まれた時期は県の発表に無い。上の段から下の段へ時間が進む
図1 県の発表と経緯のページによる経緯
日付県の発表の内容
2019年11月26日夕刻、県の情報と思われるデータを持つ人の仲介者から、県のデータか確かめてほしいとの連絡。27日に内容を見て、県の内部の情報と思われるものを確認した[1][5]
11月27日以降情報提供者はオークションで中古のハードディスク9本を買い、復元ソフトで一部のデータを復元していた。提供された1本の個体番号が、県が富士通リース横浜支店へ返したものと一致し、県は同社に事実の確認を指示した[1][5]
12月5日同社が消去を委託していたブロードリンクの社員1名が、消去の作業の前に18本を盗んでオークションに出し、全部が落札されていたと判明。同日20時、情報提供者の9本を県が受け取った[1][5]
12月6日ブロードリンクが警視庁へ告発。県が公表[1]
12月11日富士通リースを12月11日から3か月の指名停止。ブロードリンクも、日付は経緯のページに無いが、3か月の指名停止とした[5]
12月16日再発防止策の検討チームを発足[5]
12月19日、21日オークションの運営者の協力で、所在不明だった9本のうち5本、残る4本を回収。18本すべての回収が済んだ[2][3]
12月27日情報提供者が復元したデータを格納したハードディスクをすべて物理破壊したと、仲介者の朝日新聞社から報告。インターネットへの公開と複製は無いとの報告も受けた。残る378本の消去証明書は、リース会社が委託先から作業報告書を受け取れず、年内には出せないと回答[4]
2020年1月27日情報流出防止策を正式に決定。6月25日に庁内へ実施の方法を通知[5][6]
3月6日、6月10日富士通リースの指名停止を6か月、9か月に延長。6月4日に消去証明書を出せないとの回答があったため[5]
8月26日、12月25日4,097万3,990円の損害賠償を請求。既存の契約の再発防止策の費用を差し引いた2,369万9,480円で和解の契約を結んだ[5]
  • 具体的な被害の発生は確認されていない。盗まれた18本以外は、溶解や解体と圧縮で処理され、持ち出された事実は確認されていない[5]。
  • 県が見た範囲では、データの多くは公開の情報と内部の資料で、一部に個人情報と重要な情報が含まれていた。データは県へ渡されず、復元された範囲は特定できていない。マイナンバーが含まれていた事実は確認していない[5]。
  • 県は個人情報保護委員会へ報告し、相談した[5]。

起きた仕組み

県は初期化しただけでサーバをリース会社へ返し、リース会社は消去を委託し、委託先の社員が作業の前に盗んでオークションに出し、落札者が復元した。データが読める状態のまま、県の管理下から3つの手を渡った 県の管理下 県の手を離れた後 データはまだ読める 県のサーバ ディスク396本 初期化して返却 立会いなし リース会社 復旧できない方法 で消去する契約 消去の委託先 物理破壊の予定 社員が作業前に 18本を盗む オークション 18本すべて落札 落札者の1人が 9本を復元 県が確かめる手段 消去証明書の提出を求めるだけ 期限なし、最後まで出ず 分散して保存する装置 1本では正しく戻らないが 小さいファイルは戻り得る
図2 データが読める状態のまま、県の管理下から3つの手を渡った

県は返す前に、県の内部の初期化の作業でデータを消去していたとし、契約ではリース会社が「データ復旧が不可能とされている方法によりデータ消去作業を行うものとする」と決めていた[1]。富士通リースは物理破壊をブロードリンクに委託していた[5]。県の防止策は、盗まれたディスクはデータが存在しないフォーマット後の状態だったが、購入者が9本に復元ソフトを使ったことで、県のデータが外に出る結果になったと書く[6]。

フォーマットは、データの領域を上書きするとは限らず、上書きされていない領域は復元ソフトで読める。この件がその実例である。県の防止策が後に、上書きによる消去と、磁気による破壊と、物理的な破壊を分けて定め、上書き用のソフトは有効性を確かめたものに限ったのはこの差のためである[6]。

サーバは、ファイルを細かく分けて396本のディスクに分散して保存する作りで、1本からはデータが正しく戻らない。ただし一定の大きさ以下のファイルは分けられずに1か所に保存され、復元できる可能性がある、と県は説明した[5]。分散の作りは、消去の代わりにならなかった。

報道と県の説明の違い

報道では、流出した容量を数十テラバイトとし、世界でも最悪の規模の流出と伝えたものがある。県は、復元されたデータはごく一部で、その多くは壊れて開けないか何のファイルか分からないものだったとし、範囲は特定できていないと説明している[5]。

どこで止められたか

読めるまま手放す、確かめない、委託の先で盗まれる、売られる、復元される、の5段それぞれの下に、止める仕組みを置く 1 手放す 読めるまま返す 2 任せる 立会いも期限も無い 3 盗まれる 作業の前に 4 売られる オークション 5 戻される 復元ソフト 管理下で抹消 上書き、磁気、 物理破壊 立会いと記録 2名以上が確認 個体番号と写真 契約 実施者、方法 期限を決める 個体番号の台帳 契約の始めから 最終の処分まで 暗号化 鍵が無ければ 読めない 1が根本。2から5は、1が破れたときの網
図3 流出が進む5段と、それぞれで止める仕組み
段県が認めたこと止める仕組み
1 手放す返す時点はフォーマット後の状態で、復元ソフトでデータが戻った[6]個人情報と重要な情報を持つサーバのディスクは、県の管理下で、職員の上書きか磁気の消去の後、事業者が磁気破壊と物理破壊をする[6]
2 任せる消去の作業の立会いをしておらず、消去証明書の督促も不十分だった[6]職員2名以上が立ち会い、個体番号と破壊の跡を写真で残し、所属長が確かめる[6]
3 盗まれる委託先の社員の管理、作業の管理、事故の防止の不備で、盗める状態にあった[1][5]契約で、消去の実施者、方法、対象、証明書の内容と期限を決め、満了の1か月前までに抹消の計画を出させる[6]
4 売られる個体番号で、県が返したディスクと分かった[1]契約の始めから最終の処分まで、ディスクの個体番号を台帳で持つ[6]
5 戻される9本から一部のデータが復元された[5]保存の時点から暗号化し、消去では鍵を消す。県の防止策の参考資料も、暗号化消去を除去の方法に挙げる[6]

1 手放す。根本の段

2から5は、読めるディスクが手を離れた後の策である。契約、立会い、台帳を重ねても、ディスクが読める状態で外に出る限り、どこかの1人の不正で破れる。この件では、消去を任された会社の中で、消去の前に盗まれた。県の防止策の基本方針は、どの機器も県の管理下にあるうちに、抹消の作業の完了までを職員が立ち会って確かめることにした[6]。

防止策は、重要な情報を持つサーバのディスクに、磁気破壊だけの抹消を認めない。実施を目で確かめられないためである。物理破壊だけでも復元の恐れがあるとして、両方を求める[6]。パソコンは、有効性を確かめた専用のソフトで1回以上上書きする。SSD は SECURITY ERASE UNIT のコマンドによる消去を勧める[6]。

防止策は NIST SP 800-88 の消去、除去、破壊の段を参考に引く[6]。SP 800-88 は2025年9月に Rev. 2 が出て、Rev. 1 は取り下げられた[7]。手順を作るときは、今の版を読む。

2 任せる。確かめられる記録

県は消去証明書の提出を求めていたが、内容も期限も決めていなかった。盗難の後、残る378本の証明書は、リース会社が委託先から作業報告書を受け取れず、最後まで出なかった[4][5][6]。何本を、どの方法で、いつ、誰が処理したかが分からない証明書は、処理したことの証明にならない。

悪い例。架空の消去証明書。どのディスクの話か分からない

データ消去証明書  架空の例
対象: サーバ一式
方法: 復旧不可能な方法により消去
本数: 記載なし
立会い: なし
日付: 記載なし

直した例。個体番号ごとに、方法、立会い、記録が結び付く

# disposal-log.csv  架空の例。1行がディスク1本
serial,       erased_by, method,                  witnessed_by,   photo,         date
WX-EXAMPLE-0001, staff-A, overwrite+degauss+shred, staff-B;staff-C, IMG_0001.jpg, 2026-11-10
WX-EXAMPLE-0002, staff-A, overwrite+degauss+shred, staff-B;staff-C, IMG_0002.jpg, 2026-11-10
# 台帳の個体番号の数と、この記録の行の数が合わなければ、引き渡さない

守り方

根本の直し
  • 記憶媒体は、自分の管理下を出る前に、復元できない状態にする。初期化やフォーマットを消去と扱わない[6]。
  • 重要な情報を持つ媒体は、上書きか磁気の消去の後に、物理破壊までを管理下で終える[6]。
  • 媒体は使い始めから暗号化しておき、廃棄では鍵を消す。消去の確実さが、媒体の作りに左右されにくくなる[6][7]。
緩和の策
  • 抹消の作業は、自分の側の2名以上が立ち会い、個体番号と破壊の跡を写真で残す[6]。
  • 媒体の個体番号の台帳を、契約の始めから最終の処分まで持つ。媒体を交換したら台帳も直す[6]。
  • 契約で、消去の実施者、方法、対象、証明書の中身と提出の期限、再委託の事前の確認を決める[6]。
  • 証明書が期限までに出なければ、督促と次の手を決めておく。出なかったことを、処理が済んだことにしない[5][6]。
  • クラウドのように媒体が手元に無いものは、どう抹消し、何で確かめるかを別に決める。県の防止策も、ASP とクラウドの扱いを別に検討するとした[6]。鍵の扱いは 秘密の鍵の扱い にある。

参照

  1. リース契約満了により返却したハードディスクの盗難について 神奈川県、2019年12月6日。元の URL は開けないため Internet Archive の写し
  2. 所在不明のハードディスクの一部回収について 神奈川県、2019年12月20日。Internet Archive の写し
  3. 所在不明のハードディスクの全台数回収について 神奈川県、2019年12月21日。Internet Archive の写し
  4. ハードディスクから復元されたデータの消去等について 神奈川県、2019年12月27日。Internet Archive の写し
  5. リース契約満了により返却したハードディスクの盗難及び再発防止策等について 神奈川県、2021年1月5日時点。Internet Archive の写し
  6. 県情報を保存するために使用した情報機器からの情報流出防止策 神奈川県総務局ICT推進部情報システム課、2020年1月。Internet Archive の写し
  7. SP 800-88 Rev. 2 Guidelines for Media Sanitization NIST、2025年9月