KDDI顧客情報流出事件

KDDI顧客情報流出事件(ケイディーディーアイこきゃくじょうほうりゅうしゅつじけん)は、2006年KDDIISPであるDIONの顧客情報が流出した事件。この事件でKDDIを恐喝したとして2名が逮捕された。また流出規模は約400万件におよび、2004年のYahoo! BB顧客情報漏洩事件に次ぐ規模である。

沿革編集

  • 2003年12月 業務委託先の取引先社員が顧客情報を収納したPCを自宅に持ち帰る。
  • 2006年4月 データが知人の元に渡る。
  • 2006年5月30日 個人情報開示相談室に「個人情報を入手した」との連絡。
  • 2006年5月31日 40万人分のユーザー情報がKDDI本社に持ち込まれる。同日、情報流出対策本部を設置。
  • 2006年6月13日 小野寺社長が記者会見を行い流出を公表。同日、KDDIを恐喝したとして2名を逮捕[1]
  • 2006年6月15日 KDDI株主総会
  • 2006年6月21日 ニフティなど他社ISP分の個人情報流出を公表[2]
  • 2006年6月22日 JENS SpinNetとSANNETの顧客情報分も流出に含まれていた事を公表[3]
  • 2006年8月2日 入退室ログや監視カメラ映像を永年保存するなど再発防止策を発表
  • 2006年8月3日 KDDIの業務委託会社の取引先社員が顧客情報を外部に持ち出していたことを公表[4]
  • 2006年9月13日 データを持ち出した人物を著作権法違反で書類送致 社内処分発表。
  • 2006年9月21日 総務省から行政指導[5]

経緯編集

2006年5月30日KDDI電話相談窓口「個人情報開示相談室」に「個人情報を入手した」と電話連絡があった。翌5月31日、40万人分のユーザー情報を収録したCD-ROMを「入手した情報の一部」として、KDDI本社の受付に持ち込んだ。KDDIはこの情報を解析し、DIONのユーザー情報と一致することを確認。同日、情報流出対策本部を設置、社内調査を進めるとともに警察当局に相談した[6]
その後、同社役員が情報を持ち込んだ人物と会って話し、保有している情報をすべて渡してもらえるよう交渉。6月8日に、顧客の全情報が入ったUSBメモリを手渡しで受け取った。KDDIは6月13日、小野寺正社長が記者会見を行い顧客情報の流出があった旨を公表した。また流出はISPのDIONユーザーのみであり合併前に旧KDDが所有していたISP newebユーザーの情報や固定回線、au携帯電話の個人情報流出はなかったとしながらもYahoo! BB顧客情報漏洩事件では全顧客に一律500円の金券を送ったがKDDIは金券を送るなどの処置は取らないと会見した[7]。また同日、KDDIに情報を持ち込んで現金を脅し取ろうとした疑いで、男2人を恐喝未遂容疑で逮捕した[8]

原因編集

会見で小野寺社長は流出した情報は何者かが何らかの理由で社内PCから情報にアクセスし、ダウンロードして持ち出したすなわち「当社または関係者から流出したと推定せざるを得ない」とした。理由としてシステムルーム入室には、ICカードが必要だったこと、PCはMACアドレスとIPアドレスを登録・管理しており、外部ネットワークにはつながっていなかったこと、PC内のデータにアクセスするには、ユーザーID・パスワードが必要だったことをあげている。なお、情報が抜き取られた時期は「2003年12月18日以降の比較的短い期間内だろう」としているが、特定できていない。それはKDDIは当時、アクセス履歴などの保存期限を1年としており、当時のアクセス履歴や入退室履歴が「残っていない」ためである[6]

二次流出・三次流出編集

6月21日小野寺社長は流出した顧客情報の中に、KDDIが他のISP経由で提供していたIP電話サービスの利用者1,892人と、KDDIのネット決済代行サービスを提供していた法人997社の情報が含まれていることを公表。ニフティは2003年12月18日以前にIP電話サービス「KDDIフォン for @nifty」または「@niftyフォン-k」を申し込んだ895人分の顧客情報が流出し、氏名、住所、電話番号、メールアドレスの4項目が含まれていたという[9]。また翌22日にはJENS SpinNetとSANNETの顧客情報が含まれていた事も発覚し公表した[10]

裁判編集

8月3日東京地方裁判所で開催された、KDDIに対する恐喝未遂容疑で逮捕・起訴された被告人2人の第1回公判の中でKDDIがDIONのシステム開発業務を委託していた会社の取引会社社員が顧客情報を外部に持ち出し、2人を経由して被告人の手に渡っていたことが明らかにされた。 その事実を元にKDDIはKDDIの業務委託会社の取引先社員が顧客情報を外部に持ち出していたことを公表した[11]

最終結果報告編集

KDDIは9月13日最終結果としてデータの流出元となった開発業務委託先の取引先社員(以下A)は2003年12月、顧客情報を収納したPCを自宅に持ち帰って作業を行ない、作業終了後もデータを保存していた。そのデータを2006年4月にAの知人に渡し、その後、恐喝未遂容疑に問われている2人にデータが渡ったとしている。
KDDIでは9月8日、Aとその知人を著作権法違反で告訴、これを受けて警視庁では13日、同法違反で2人を書類送致した。KDDIによると、データベースに保存されていた同社の著作物と言えるデータを、著作権者に無断でコピーしたと判断したという。 また同日小野寺正代表取締役社長兼会長の月例報酬を3カ月間20%返上するなどの社内処分を行なったことも発表した[12]。また、9月21日総務省から行政指導が下され一連の事件は終結した。

関連項目編集

脚注編集

[脚注の使い方]
  1. ^ KDDI情報流出で恐喝未遂の男2人逮捕
  2. ^ http://internet.watch.impress.co.jp/cda/news/2006/06/22/12425.html
  3. ^ http://internet.watch.impress.co.jp/cda/news/2006/06/23/12452.html
  4. ^ http://internet.watch.impress.co.jp/cda/news/2006/08/07/12929.html
  5. ^ http://internet.watch.impress.co.jp/cda/news/2006/09/21/13359.html
  6. ^ a b “「DION」400万人分のユーザー情報流出 KDDI小野寺社長が謝罪”. ITmedia. (2006年6月13日). http://www.itmedia.co.jp/news/articles/0606/13/news065.html 
  7. ^ 朝日新聞. (2006年6月14日朝刊1面) 
  8. ^ “KDDI情報流出で恐喝未遂の男2人逮捕”. ITmedia. (2006年6月13日). http://www.itmedia.co.jp/news/articles/0606/13/news074.html 
  9. ^ “KDDI顧客情報流出、ニフティなど他社ISP会員1,892人の情報も含まれていた”. INTERNET Watch. (2006年6月22日). http://internet.watch.impress.co.jp/cda/news/2006/06/22/12425.html 
  10. ^ “KDDI顧客情報流出、「JENS SpinNet」「SANNET」の情報も含まれていたと公表”. INTERNET Watch. (2006年6月23日). http://internet.watch.impress.co.jp/cda/news/2006/06/23/12452.html 
  11. ^ “KDDI顧客情報流出、業務委託会社の取引先社員が情報を持ち出していた”. INTERNET Watch. (2006年8月7日). http://internet.watch.impress.co.jp/cda/news/2006/08/07/12929.html 
  12. ^ “DIONの顧客情報流出事件、データ持ち出した人物を著作権法違反で書類送致”. INTERNET Watch. (2006年9月13日). http://internet.watch.impress.co.jp/cda/news/2006/09/13/13285.html