NTT西日本グループ 2023年 保守の派遣社員による顧客情報の持ち出し
コールセンタシステムの保守に就いていた派遣社員が、4人で共用する管理者アカウントで全部の委託元の顧客データを保守端末へ落とし、私物のUSBメモリで約10年持ち出して名簿業者へ売った。ログは記録されていたが誰も見ておらず、委託元から調査を頼まれたときも漏えいは無いと答えていた。
要点
- 漏れたのは、委託元69団体の顧客や住民の約928万人分。民間30社、独立行政法人1機関、地方公共団体38団体で、名簿業者2社への売却が確かめられた。
- 持ち出したのは、システムを提供し保守するNTTビジネスソリューションズに派遣された保守担当者。委託先の社員ではない。
- 管理者アカウントは全部の委託元のリストを読めて落とせ、4人で共用していた。保守端末は私物のUSBメモリに書けた。ダウンロードのログは残っていたが、点検する人が決まっていなかった。
- 2022年に委託元から調査を頼まれたとき、担当者はログを誤読し、手を入れたログと事実と違う回答を返した。持ち出しはその後も続いた。
- 根本の直しは、端末に顧客データを落とせない作りと、個人単位で要るときだけ使う特権。媒体の制御、ログの点検、独立した調査は、その上に重ねる網。
誰が誰に何を任せていたか
- ProCXはNTT西日本の完全子会社で、民間事業者と地方公共団体からコールセンタ業務を受け、全国40拠点で運営していた[1][2]。
- NTTビジネスソリューションズ、以下BSもNTT西日本の完全子会社で、ProCXとのサービス利用契約に基づき、コールセンタ業務用のシステムを提供して保守運用していた[1]。
- 持ち出した者は派遣会社からBSに派遣された派遣社員で、2008年6月からBSの前身のエヌ・ティ・ティ ネオメイトに、その後BSで、このシステムの保守運用に就いていた[1]。
- 個人情報保護委員会は、BSが保守の中でProCXの指示により個人データを扱っていたことから、契約の名前に関わらずProCXはBSへ取扱いを委託していたと認めた[1]。
- NTT西日本自身も委託元の1つで、自社の顧客の約120万件が漏れた。総務省は、NTT西日本がこの委託関係を認識できず、委託先の監督の対象にしていなかったと指摘した[4][6]。
何が起きたか
| 日付 | 出来事 |
|---|---|
| 2008年6月 | 派遣社員がBSの前身へ派遣され、以後このシステムの保守運用に就く[1] |
| 2013年7月頃 | 持ち出しが始まる。2023年2月頃まで多数回続いた[1][2] |
| 2022年1月から3月 | 委託元A社に、顧客から不審な投資の勧誘電話があったという問い合わせが複数届く[1] |
| 2022年4月 | A社が自社の調査で漏えいを確かめられず、ProCXに調査を依頼する[1] |
| 2022年7月 | ProCXがBSと調べ、漏えいは確認されなかったとA社に報告する[1] |
| 2023年7月13日 | A社の捜査依頼を受けた警察がBSの社屋を捜索する。派遣社員の最後の勤務は7月10日[2] |
| 2023年7月18日 | BSが保守端末からUSBメモリへの書き出しを止める[1] |
| 2023年8月7日 | ProCXがA社に漏えいの事実を報告し、ほかの委託元へも順に報告する[1] |
| 2023年10月17日 | ProCXとBSが公表。委託元59団体、約900万件。NTT西日本も自社の顧客の約120万件を公表[2][6] |
| 2023年10月20日 | 個人情報保護委員会が両社に報告を求める[1] |
| 2023年11月16日 | NTT西日本が外部の専門家を含む社内調査委員会を設ける[2] |
| 2023年12月19日 | ProCXとBSが続報。委託元69団体、928万件に増える[3] |
| 2024年1月24日 | 個人情報保護委員会が両社に勧告と指導を行う[1] |
| 2024年1月31日 | 元派遣社員が不正競争防止法違反の容疑で逮捕される。2月21日に起訴[2][3] |
| 2024年2月9日 | 総務省がNTT西日本に、委託先の監督について指導する[4] |
| 2024年2月29日 | NTT西日本が、2月19日付の調査報告書と再発防止策を公表する[2][3] |
| 2024年9月11日 | 個人情報保護委員会が是正の状況を公表し、データを買った名簿業者2社を指導する。うち1社は虚偽の報告で告発する[5] |
- 漏れたのは主に電話番号と、それに結び付いた氏名、住所、性別、生年月日や年齢、顧客番号などで、項目は委託元ごとに違う。委託元2社の分には、81件のクレジットカードの情報が含まれていた[2]。
- 928万件のうち117万件は、どの委託元のものかを結び付けにくいとされた[2]。
- NTT西日本の顧客の分は、2014年4月から2022年3月にかけて断続的に持ち出された約120万件で、氏名、住所、電話番号、一部の生年月日などである[6]。
- 外部からネットワークへの不正な通信の跡は確認されていない[2]。
通った道筋
調査報告書は、システムの技術的な管理措置に5つの不備があり、それが持ち出しを許し、長年見つけられなかった直接の原因だとした[2]。
| 不備 | 実際の状態 |
|---|---|
| ダウンロードの制御が無い | 保守担当者が使う管理者アカウントは、全部のテナントの顧客データを閲覧しダウンロードできた。異常なダウンロードの振る舞い検知も、監督者への通知も無かった[2]。テナントは委託元か案件ごとに分けた区画 |
| 外部媒体への書き出しを止めない | 許可した指紋認証付きのUSBメモリ以外への書き出しを、物理的にも技術的にも止めていなかった。保守拠点への私物の持ち込みも確かめていなかった[1][2] |
| インターネットの接続を限らない | 保守端末からウェブメールを開けた。持ち出しに使われた可能性も残る[2] |
| ログを見ない | ログインとダウンロードのログは記録していたが、定期に点検する運用も担当者も無かった。アカウントは共用で、ログから使った人を一意に決められなかった[1][2] |
| 私有の端末を止めない | 保守網にも在宅の接続にも、私有のPCをつなぐことを技術的に止めていなかった[2] |
- 在宅の接続は本来オペレータ用だったが、その利用者IDとパスワードを払い出す業務を当の派遣社員が担っており、保守端末からそれを使って入った跡がある[2]。
- 管理者アカウントのダウンロードの記録が無い分もあり、報告書は、正規の業務で現場の端末に落とされたファイルを共有の設定から取った可能性を有力とした[2]。
- 派遣社員は、システムに最も詳しい者として作業の大半を1人でこなし、直属の上長とは別の拠点にいた。上長は、保守でダウンロードが要る場面を正確に知らず、見ても通常の業務と思っただろうと述べた[2]。
悪い例。架空のシステムのダウンロードのログ
# 架空の例。誰が、何のために落としたかが残らない
2026-11-10T21:04:11+09:00 user=sysadmin src=192.0.2.31 export tenant=client-07 rows=184220
2026-11-10T21:09:52+09:00 user=sysadmin src=192.0.2.31 export tenant=client-12 rows=96410直した例。個人の利用者、承認した作業、件数が残り、閾値で警告する
2026-11-10T21:04:11+09:00 user=ops.tanaka src=192.0.2.31 export tenant=client-07 rows=184220 ticket=none
# 規則の例 承認した作業の番号が無い、または件数が通常の作業の量を超えたら、当番の管理職へ即時に知らせる
alert: export where ticket == "none" or rows > 1000 -> page oncall-manager共用のアカウントのログは、怪しい操作があっても誰のものか決められず、点検しても次の手が無い。個人の利用者と作業の承認の番号が残れば、作業の記録と突き合わせて、説明の付かないダウンロードを拾える。
委託元の調査で見逃した
2022年の過去調査は、ProCXとBSの社員4人だけで行われ、BSの幹部にもNTT西日本にも上げられなかった[3]。担当者は前提の情報を持たないまま短時間でログを読み、誤読から内部からの流出は無いと結論した[3]。そのうえで、A社に出すダウンロードのログから件数を消し、同じ日の履歴を1件だけ残し、IPアドレスを保守拠点の端末のものに書き換えた[2]。保守端末には物理的にUSBポートが無い、暗号化のソフトを入れている、保守者の体制を変えた、という事実と違う回答もした[3]。
報告書は、担当者は持ち出しを知らず、漏えいを隠す意図は無かったが、内部からの流出に気付く段にすら至っていなかったと評価した[3]。個人情報保護委員会は、不適切な報告に至った経緯と原因を明らかにできていないことを、組織的安全管理措置の不備として両社に勧告した[1]。
ログを抜き出して読んだのは、管理の不備を問われる部署の当事者だった。調査の結論は、管理の不備を取り繕う動機と同じ人の手を通った[3]。漏えいの疑いを調べるときは、運用の部署から独立した者が、手の入っていない原本のログを読む。
どこで止められたか
| 段 | この件で確かめられたこと | 止める仕組みと、事後に取られた策 |
|---|---|---|
| 1 読める | 管理者アカウントで全委託元のリストを閲覧しダウンロードでき、4人全員が単独で常に使えた[1] | BSは2023年8月9日、共用のアカウントを止め、個人データを扱う役割の2人に個人単位で払い出した[1]。NTT西日本は特権アカウントの管理システムを順に入れている[7] |
| 2 落とす | 保守端末と現場の管理者の端末にダウンロードできた[1] | BSは2023年8月5日、保守端末とサーバの間に中継サーバを置き、保守端末からは閲覧だけにした[1]。NTT西日本は、端末にデータを落とせないVDIの環境を作り、システムごとに移している[7] |
| 3 持ち出す | 私物のUSBメモリをつなげ、接続を即時にも事後にも検知していなかった[1] | BSは2023年7月18日に書き出しを止め、10月16日に未登録の媒体の接続で管理職へ即時に警告する仕組みを入れた[1] |
| 4 気付かない | 規程はアクセスの記録の分析と監視を求めていたが、実際にはしていなかった[1] | BSは2023年10月25日から週次で自主点検とログの分析をしている[1]。NTT西日本は2026年6月、物理的に隔絶されたものを除くグループの全システムへ振る舞い検知を入れ終えた[7] |
| 5 調べ損ねる | 委託元の調査依頼を、当事者の4人だけで受け、ログを誤読し、手を入れたログと事実と違う回答を返した[2][3] | NTT西日本グループは、法令違反の疑いの段階で社長などの幹部へ報告する決まりを足した[7] |
1と2 読めて、落とせる。根本の段
保守担当者が顧客データに触れる理由は、現場がリストを正しく落とせないときなどのトラブル対応だった。それに対して与えられていたのは、全委託元のリストを読めて落とせる特権で、4人の誰でも、いつでも、1人で使えた[1]。この形では、出口をいくら塞いでも、画面を写す、別の道で送る、という手が残る。特権は個人に結び付け、作業の承認があるときだけ有効にし、手元に落とせない閲覧の環境で使わせる。権限を要る最小に絞る考え方は 秘密の鍵の扱い の権限を最小にする節、対象ごとの認可は A01 アクセス制御の不備 にある。
1人の詳しい者に作業が固まり、上長が作業の中身を判断できない状態は、特権の悪用に気付く人をいなくする。報告書はこの業務運営の体制も、持ち出しを許した直接の原因に挙げた[2]。BSは再発防止策に、顧客情報を扱うシステムの従事者の長期の配置の見直しを入れた[3]。
3 持ち出す。出口
USBメモリの禁止は規程にあったが、端末の設定でも入室の確認でも止めておらず、破られても何も鳴らなかった[1]。出口の制御は、媒体、ウェブメール、クラウドの保管場所、私有の端末の接続をまとめて見る。1つを塞いでも、残りの道から出る。
4 気付かない。ログ
ログは10年分の持ち出しの跡を持っていた。足りなかったのは、見る人、見る頻度、見て怪しいときの行き先である[2]。共用のアカウントのログは、見ても誰の操作か決められない。記録すべき出来事と警告の置き方は A09 セキュリティログとアラートの不備 にある。
5 調べ損ねる。委託元からの疑い
委託元の顧客に不審な電話が来たという訴えは、外から届いた兆しだった[1]。その調査を、管理の不備を問われる側の担当者だけで行い、上へ上げなかったため、持ち出しは調査の後も続いた[1][3]。個人情報保護法は委託元に委託先の監督を求めており[9]、委託元へ返すログと回答は、その監督の材料になる。
守り方
- 未登録の外部媒体の接続を端末の設定で止め、接続そのものを即時に知らせる。保守拠点への持ち込みも確かめる[1]。
- 保守端末からのインターネット接続と、私有の端末の接続を止める[2]。
- ダウンロードのログに、個人の利用者、承認の番号、件数を残し、点検の担当と頻度を決める。量と時間帯の振る舞いで警告を出す[1][7]。A09 セキュリティログとアラートの不備
- 特権の作業を1人に固めない。長く同じ者に任せず、作業の中身を判断できる者が見る[2][3]。
- 漏えいの疑いを受けたら、運用の部署から独立した者が原本のログで調べ、疑いの段で経営へ上げる[3][7]。
- 内部不正の対策の全体は、IPAの組織における内部不正防止ガイドラインの観点と対策の一覧で点検する[8]。
参照
- 株式会社NTTマーケティングアクトProCX及びNTTビジネスソリューションズ株式会社に対する個人情報の保護に関する法律に基づく行政上の対応について 個人情報保護委員会、2024年1月24日。概要資料と詳細資料
- 調査報告書 NTT西日本の社内調査委員会、2024年2月19日。2024年2月29日公表
- お客さま情報の不正持ち出しを踏まえたNTT西日本グループの情報セキュリティ強化に向けた取組みについて 西日本電信電話、NTTマーケティングアクトProCX、NTTビジネスソリューションズ、2024年2月29日
- 西日本電信電話株式会社に対する行政指導 総務省、2024年2月9日
- 株式会社NTTマーケティングアクトProCX等における不正持ち出し事案に対する個人情報の保護に関する法律に基づく行政上の対応について 個人情報保護委員会、2024年9月11日
- お客さま情報の不正流出に関するお詫びとお知らせ 西日本電信電話、2023年10月17日
- お客さま情報の不正持ち出しを踏まえたNTT西日本グループの情報セキュリティ強化に向けた取り組みの進捗状況について NTT西日本、NTTマーケティングアクトProCX、2026年9月30日
- 組織における内部不正防止ガイドライン IPA、第5版
- 個人情報の保護に関する法律 第23条 安全管理措置、第25条 委託先の監督 e-Gov法令検索