海外における個人情報流出事件とその対応第178回確固とした対策が求められる従業員のP2P使用 (1)P2Pからの情報漏えいを防ぐ方法

　昨年下旬、米国にある投資会社の従業員の1人が、職場のコンピュータを使用中に、ファイル共有ネットワーク、LimeWireにアクセス。その際に業務に関係するファイルを開いたことで、そのファイルもLimeWire上に流出してしまったと、7月9日付けの『Washington Post』紙が

国際海外情報

2008年8月19日（火） 16時45分

　昨年下旬、米国にある投資会社の従業員の1人が、職場のコンピュータを使用中に、ファイル共有ネットワーク、LimeWireにアクセス。その際に業務に関係するファイルを開いたことで、そのファイルもLimeWire上に流出してしまったと、7月9日付けの『Washington Post』紙が報じている。この従業員が音楽や動画ファイルなど、何を共有するのに使用しているのかは明らかにはなっていない。

　漏えい事件の舞台となった投資会社は、バージニア州マクリーンに本社を置く、ワグナー・リゾース・グループだ。ワシントンD.C.地域を中心に、同社の顧客約2000人の氏名、生年月日、社会保険番号が被害に遭っている。中には多数の有名弁護士や、最高裁判所のステファン・ブレヤー判事の名前も挙がっている。

　情報が流出していたことは、6ヵ月近くも明らかになっていなかったが、『Washington Post』のウェブサイトの、インターネットセキュリティ問題のブログ、『SecurityFix』の読者が発見して、ブログ担当のブライアン・クレブズに連絡した。この読者は6月、LimeWireで何らかのファイルを探そうと検索をしていて、たまたまファイルを見つけたというものだ。

　ワグナーではP2Pネットワーク情報に関するセキュリティサービスを提供しているTiversaに依頼して、事態を調べた。その結果、LimeWire上に確かにファイルが流出していて、遠くはスリランカやコロンビアのユーザまでが、極秘情報の入ったファイルをダウンロードしていたことが分かった。

　情報漏えいの被害者への通知も、First Advantage社に依頼して行っている。事態を知らせるとともに、6ヵ月間の無料信用情報モニターサービスもオファーしている。記事ではワグナーグループの創立者、フィリップ・ワグナーの話も聞いているが、その中で、「（リストは流出したものの、今回の）P2Pによる漏えいにより、顧客の財務記録が危険に晒されたことはない」と話している。「財務記録は別会社によって保管されていた」というから、財務記録については漏えいしていない、流出したリストには含まれていなかったという意味だろう。

　しかし、複数のメディアが、スティーブン・アグレスタ弁護士が、AT&Tから9000ドルの携帯電話の請求書を受け取ったと報じている。何者かが新たに電話回線を開設したためで、生年月日や社会保険番号といった個人情報があれば、犯行は可能だ。ただし、開設に用いた情報のうち、住所はアグレスタ弁護士のものではなかった。犯人がワグナーから流出した情報を用いたかは分からないが、時期が一致していることから、その可能性は高いと見られている。

　幸いにも、不正に獲得した情報を用いたものであったことが分かり、アグレスタ弁護士が、この9000ドルを支払う必要はなかった。しかし、その後も請求書類はしっかり調べて、他人に情報を不正使用されていることがないか、チェックしているという。

　アグレスタ弁護士は本拠をアトランタに置く、アルストン＆バード法律事務所のパートナーの1人だ。業務を行っているのはワシントンD.C.が中心だ。アルストン＆バード法律事務所は600人以上の弁護士が働く規模の大きな事務所だ。

　漏えいした2000件の情報の中で、700件については氏名、生年月日、社会保険番号のすべてが含まれていた。残りの1300件は、例えば氏名と社会保険番号、あるいは氏名と生年月日、氏名のみというように、部分的なデータだった。

●認識がまだ薄いP2Pの危険

　ファイル共有のためのP2Pソフトの多くは、ユーザのファイルの一部もしくは全てへのアクセスを許可するように設定されている。これが、P2P使用中にデータ漏えいが起こる原因だ。

　事件を受けて、ニューヨークのITコンサルタントの1人は、「映画などの動画や音楽ファイルをダウンロードするために使用する人が多い、LimeWireのようなP2Pは、シンプルなアプリケーションであるものの、ユーザのコンピュータにあるフォルダーを開いて、世界中と共有してしまう可能性があることに留意すべきだ」と注意を呼びかけている。

　「特に企業や組織は…

【執筆：バンクーバー新報西川桂子】
──
※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
購読会員登録案内
http://www.ns-research.jp/cgi-bin/ct/p.cgi?m-sc_netsec

《ScanNetSecurity》