個人情報保護委員会の指導事例に出てくる、推測されやすいパスワードと委託先のアカウント

個人情報保護委員会は、四半期ごとに「監視・監督権限の行使状況の概要」を公表し、指導した事案を社名を伏せて載せます。令和 6 年 8 月 28 日公表の令和 6 年度第 1 四半期分には、パスワードと委託先のアカウントに関わる事案が繰り返し出てきます。同じ型が何度も指導されている資料です。

何が起きたか

この四半期の指導・助言は 142 件で、うち民間事業者が 110 件、行政機関等が 32 件です。民間事業者への指導は、不正アクセスを原因とする漏えいが中心でした。委員会は原因の傾向を 3 つにまとめています。直し方が出ていた欠陥の放置、推測されやすい ID・パスワード、設定ミスでデータベースが外から見える状態になっていたことです。

指導の内容のうち関係の深いものは次のとおりです(1 事案が複数に当たることがあります)。

パスワードが原因とされた事案

概要に載った事案のうち、パスワードの状態が原因と考えられるとされたものを並べます。番号は概要の事案番号です。

• 事案 14: サーバーの管理者権限のアカウントが複数あり、一部のパスワードが 4 桁だった。
• 事案 18: 写真アプリの利用者アカウントにリスト型攻撃(他のサービスから流出した ID・パスワードで試す攻撃)。利用者のパスワードの使い回し。
• 事案 26〜28: 委託先が管理するアカウントのパスワードが、その事業の名称を使った簡単な文字列だった。
• 事案 31・32: 委託先の仮想専用サーバー(1 台のサーバーを分けて借りるサーバー)で、ファイアウォール(外からの通信を選んで止める仕組み)と ID・パスワードが初期設定のまま。総当たり攻撃(文字の組み合わせを片端から試す攻撃)で突破された。
• 事案 38: VPN 機器(外から社内につなぐための機器)とサーバー管理者アカウントのパスワードが推測しやすく、設定後に変更されていなかった。
• 事案 47: 自治体の委託先のメールアカウントのパスワードが、容易に推測できるものだった。
• 事案 55・56: 管理者アカウントの ID とパスワードが同じ 5 文字・6 文字で、容易に推測できた。
• 事案 61: メール管理システムの管理者アカウントの ID・パスワードを長期間変えておらず、強度にも問題があった。

事案 41 は経路が複雑です。業務委託先 2 社のメールサービスが不正アクセスを受け、そこから委託元の委託先用 VPN のパスワードが盗まれました。さらに、委託元が委託先に配っていた社内システム用のアカウントが悪用されました。原因は、VPN と社内システムで多要素認証(2 つ以上の方法でログインを確かめる仕組み)と接続元の制限が不十分だったこととされています。

委託元に対する指導

委託先のアカウントが原因の事案では、委託元も指導を受けています。事案 26〜28 では、適切な委託先の選定、委託契約の締結、委託先での個人データの取扱状況の把握が不十分で、委託先に対する監督に不備があったとされました。事案 31 でも、契約の締結と取扱状況の把握の不十分さが指摘されています。委託先のパスワードが弱かったこと自体は委託先の問題ですが、確かめていなかったことが委託元の問題として扱われています。

同じ型の事故で一般に問われる管理

個人情報保護委員会のガイドライン(通則編)は、個人情報保護法 25 条の委託先の監督について、委託元が行う措置を 3 つ挙げています。適切な委託先の選定、委託契約の締結、委託先における個人データの取扱状況の把握です。選定では、別添の安全管理措置(個人データを守るための対策)が業務に沿って行われることを「あらかじめ確認しなければならない」(委託先が本当にやっているかを、任せる前に確かめる)としています。上の事案で「不十分」とされたのは、この 3 点です。

IPA の「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版の対策例のうち、この事案に関わる 3 つを挙げます。初期設定のパスワードを変更すること。パスワードは 10 文字以上でできるだけ長くし、名前・電話番号・誕生日・簡単な英単語を使わず、推測できないようにすること。従業員の異動や退職時には、速やかに設定を変更・削除することです。

米国 NIST の SP 800-63B(ログインの本人確認についての基準)第 4 版は、サービス側にパスワードを一覧と照合するよう求めています。その一覧に、サービスの名前や利用者名とその変形を入れることも、基準は例として挙げています。事業名を使ったパスワードは、この例に当てはまります。詳細はパスワードの使い回しで法人向けサービスの管理画面に不正ログインされた事案にあります。

自分の現場を点検する問い

1. 委託先に渡したアカウントのパスワードを誰が決め、初期設定のまま使われていないかを確かめたか。
2. 会社名や事業名、サービス名を含むパスワードが、管理者用のアカウントに残っていないか。
3. 委託契約に、アカウントの扱いと取扱状況の報告を入れているか。契約後に確かめる機会があるか。
4. 委託先が使う VPN や社内システムのアカウントに、2 つ目の確認や接続元の制限があるか。
5. 管理者用のアカウントのパスワードを、設定してから一度も変えていないものはないか。