NECの委託先が攻撃され、顧客のシステム停止と情報漏えい　大阪公立大・大阪大が影響を公表

何が起きたのか

NECの委託先への攻撃が、NECの顧客である複数の組織の被害につながりました。 NECの10月20日の公表によると、同社がシステム開発・保守を委託している企業が9月下旬にサイバー攻撃を受け、そこで盗まれた正規アカウント（本来の作業者に発行された本物のIDとパスワード）が悪用されました（NEC（外部サイトが新しいタブで開きます））。

被害は2種類あります。1つは、委託先の端末から正規アカウントで顧客のシステムに入られ、サーバー内のファイルが暗号化されて各種システムが使えなくなったことです。もう1つは、NECが顧客や委託先との情報共有に使っていたクラウドストレージのファイルが漏えいし、顧客の個人情報やシステム関連情報が含まれていたことです。NECは委託先の社名や影響を受けた顧客の数を公表していません。

大学側は何を公表したか

大阪公立大学は、10月2日から続いたシステム障害の原因が本件だったと明らかにしました。 10月21日の第5報によると、同大は基盤システムの保守・運用をNECに委託しており、NECの再委託先が保有する正規アカウントで不正アクセスされました。NECのクラウドストレージから大学関連の個人情報とシステム関連情報が漏えいしたことも確認されましたが、内容と件数はNECに確認中としています（大阪公立大学（外部サイトが新しいタブで開きます））。

大阪大学は同じ21日、77,851人分の個人情報が漏えいしたと公表しました。 内訳は卒業生59,014人、在学生15,035人、教職員3,802人で、氏名や大学のID、メールアドレス、学籍番号・職員番号などが含まれます。同大によると、大学に報告されていない協力会社が業務に関わり、NECが契約に基づかずにクラウドストレージでファイルを共有し、作業後に消すべきファイルを残していたことが判明しました。大学のシステムへの不正アクセスの痕跡は確認されていないとしています（大阪大学（外部サイトが新しいタブで開きます））。

経営者が読み取るべきこと

「正規のアカウント」による侵入は、通常の保守作業と見分けにくい点が厄介です。 解説記事も、正しい認証情報と通常の接続元からのアクセスは保守作業と区別しにくいと指摘しています（一創（外部サイトが新しいタブで開きます））。委託先が多くの顧客の環境に入れる立場にあると、1社の侵害が複数の顧客に広がります。

編集部は、今回の事案を「委託先の安全対策」だけでなく「委託元がどこまで把握しているか」の問題と考えます。保守用アカウントの棚卸し、接続元の端末の限定、共有ストレージに置くデータの最小化と期限付きの削除は、委託元の側から契約と運用で求められる対策です。