コンテンツにスキップ

年金管理システムサイバー攻撃問題

リンクを追加
出典: フリー百科事典『ウィキペディア（Wikipedia）』

年金管理システムサイバー攻撃問題（ねんきんかんりシステムサイバーこうげきもんだい）とは、外部の不正アクセスによって、日本年金機構の年金情報管理システムサーバから個人情報が流出した問題[1]。日本年金機構で、大規模な情報流出が明らかになったのはこれが初めてとなる[2]。

流出の経緯

[編集]

この問題を日本年金機構が把握したのは2015年5月8日で、コンピュータウイルス対策ソフト会社に解析依頼をしたものの、再度コンピュータウイルスによる不正アクセスを確認し、5月19日に警視庁へ捜査を依頼し、5月28日に警視庁から日本年金機構へ情報流出を知らせた[3]。

厚生労働省や日本年金機構の説明によると、このコンピュータウイルスメールは5月8日から5月18日に、大量に届き、少なくとも2人の職員が開封していた[4]。1回目の開封は5月8日に、福岡市にある九州ブロック本部の職員が「『厚生年金基金制度の見直しについて（試案）』に関する意見」というタイトルの電子メールの添付ファイルを開けた[4][5]。日本年金機構は5月8日、外部からの指摘を受けて、全ての職員に対して、電子メールや職員用の掲示で注意を呼びかけたものの、日本年金機構の幹部の話によれば、「不審なメールには注意するように」と呼びかけを行うのみで、タイトル名やメールの内容、それに、ファイル名などの具体例は記載しなかった[4]。5月18日に東京にある日本年金機構の本部の職員が、5月8日に受信したメールとタイトル名が異なった添付ファイル付のメールを開いた[4]。その間、日本年金機構は、個人情報の入ったサーバーと接続するパソコンで、メールなど外部とやり取りをする業務も行っていて、職員のパソコンが部署ごとに情報系システムで結ばれていたのが原因で、少なくとも10数台にウイルス感染が拡大したという[4]。

内閣サイバーセキュリティセンターが5月8日に厚生労働省を通じて、日本年金機構に対して、不正アクセスの疑いがあると指摘したものの、日本年金機構では、感染が疑われる端末を隔離した上で、セキュリティー会社から「ウイルスを検知するパターンファイルを更新した」との報告を受け、そこで事態が収束したと判断していた[6]。

流出した年金情報の一部が、東京都港区の会社のサーバから見つかった[7]。このサーバは、ウイルスを感染させた日本年金機構のパソコンに対して、いろんな命令を出したりして、システムの中にある個人情報を引き出して蓄積するといった目的に使われたとみられ、警視庁では、このサーバが、年金機構の情報の引き出しを行うために、何者かによって悪用されたとしている[7]。

5月28日の夜、電子掲示板「2ちゃんねる」に「ウイルス感染した」という趣旨の投稿があり、5月29日以降も、「全職員はパスワードを強制的に変更させられました」「月曜日にはウイルス感染を公表するのかな」という趣旨の投稿があった[8][9]。

日本年金機構は、厚生労働大臣への報告で「機構のインターネットでのメール通信の遮断は、5月29日」としていたが、実際には、6月4日まで機構と厚生労働省職員の間でインターネットでのメール通信が行われていたことが判明し、機構と厚労省の初動の遅れが被害を拡大させたと指摘されるが、事後対応での情報共有の不備も明らかになっている[10]。

流出した個人情報の内訳

[編集]

日本年金機構の発表によれば、職員の端末を通じ、年金情報管理システムに対して、外部の不正アクセスがあって、およそ125万件の個人情報が流出したとされている[1][11]。その流出したとされる個人情報の内訳は、「年金加入者の氏名と基礎年金番号」がおよそ3万1000件、「氏名と基礎年金番号、生年月日」がおよそ116万7000件、「氏名と基礎年金番号、生年月日、それに住所」がおよそ5万2000件だという[1][11]。流出したおよそ125万件のうち、およそ70万件にはパスワードが設定されていたものの、それ以外は設定を行っていなかったため、日本年金機構の内規違反状態の可能性がある[2][3]。

原因

[編集]
原因について、日本年金機構の水島藤一郎理事長は「職員が電子メールに添付されたウイルスの入ったファイルを開封したことにより不正アクセスが行われ、情報が流出したものとみられる。」と述べた[1]。しかし、ある関係者によれば、日本年金機構の職員が偽装されたメールにあった外部リンクのアドレスをクリックして、ファイルをダウンロードしてしまい、そこで、ウイルスに感染した可能性が高いことが6月2日に関係者の話で明らかになった[12]。
日本テレビでは6月2日、職員に送られた不審なメールの内容を入手し、この中ではメールアドレスがヤフーのフリーメールで、送付されたファイルの名前が「給付研究委員会オープンセミナーのご案内」と書かれてあり、この中にウイルスが入っていた可能性がある別の不審なメールでは、件名を「厚生年金制度の見直しについて（試案）に関する意見」となっていた[13]。
不審な電子メールに添付されていたコンピュータウイルスは、「EMDIVI」という種類だという見方が、コンピュータセキュリティ関係者の間では有力である[14]。
パスワードの設定を職員任せにして、チェックが行き届かない運用であったことと、インターネットに接続出来るパーソナルコンピュータで、個人情報のサーバにもアクセスできるコンピュータネットワーク設計だったことが重なり、今回の流出を招いた[15][16]。

対応

[編集]

日本年金機構

[編集]

今回の問題で、日本年金機構では専用の電話窓口を設置した[17][3]。日本年金機構の専用電話窓口にはこの6月2日8時30分から21時にかけて、12万9937件の問い合わせが殺到し、6月1日17時から21時にかけて問い合わせがあった2万8053件を合わせると15万7990件に達した[18]。

日本年金機構では警視庁に対して通報し、捜査を依頼[11]。これを受け、警視庁では、不正指令電磁的記録供用容疑とみて、事実関係の確認を開始した[19][3]。また、セキュリティ向上のためにホームページの改修を行ったが、想定以上に作業が長引いたため、数日間、ホームページが閲覧できなくなった[20][21]。

さらに日本年金機構では外部有識者をメンバーに加えた、原因調査・再発防止の為の委員会を設置した[22][23]。

消費者庁

[編集]

消費者庁は、流出問題に便乗して、日本年金機構などの名を騙って「流出した情報を無料で削除する」という不審電話が全国各地で相次いだことから「公的機関が個人情報を削除すると言って電話をすることは絶対にない。相手にせず、すぐに切ってほしい」と注意喚起を行った[24][25]。

脚注

[編集]

出典

[編集]
  1. 1 2 3 4 「不正アクセスで年金情報125万件が流出か」『NHK』日本放送協会、2015年6月1日。オリジナルの2015年6月1日時点におけるアーカイブ。2015年6月1日閲覧。
  2. 1 2 「年金機構、125万件の個人情報流出　不正アクセスで」『日本経済新聞』日本経済新聞社、2015年6月1日。オリジナルの2026年4月22日時点におけるアーカイブ。2015年6月1日閲覧。
  3. 1 2 3 4 古関俊樹、金秀蓮、長谷川豊「年金情報流出：内規違反　55万件にパスワード設定されず」『毎日新聞』毎日新聞社、2015年6月1日。オリジナルの2015年6月1日時点におけるアーカイブ。2015年6月2日閲覧。
  4. 1 2 3 4 5 「【年金機構情報流出】厚労相「基本動作ができていない」　注意文書に具体例なし　把握から20日間、有効策打てず…」『産経ニュース』産業経済新聞社、2015年6月3日。オリジナルの2026年4月22日時点におけるアーカイブ。2015年6月3日閲覧。
  5. ↑ 「年金システム、件名偽装メールから感染　個人情報流出」『朝日新聞』朝日新聞社、2015年6月2日。オリジナルの2015年6月2日時点におけるアーカイブ。2026年4月22日閲覧。
  6. ↑ 「年金機構攻撃、17日間幹部に知らせず　係長以下が対応」『朝日新聞』朝日新聞社、2015年6月5日。オリジナルの2015年6月5日時点におけるアーカイブ。2026年4月22日閲覧。
  7. 1 2 「年金情報、都内会社サーバーで発見　引き出すため悪用か」『朝日新聞』朝日新聞社、2015年6月3日。オリジナルの2015年6月2日時点におけるアーカイブ。2015年6月3日閲覧。
  8. ↑ 「年金情報流出　発表4日前に「2ちゃんねる」に“流出”」『スポーツニッポン』スポーツニッポン新聞社、2015年6月3日。オリジナルの2015年6月3日時点におけるアーカイブ。2015年6月3日閲覧。
  9. ↑ 「公表前、職員がネット書き込み　年金情報「流出した？」」『朝日新聞』朝日新聞社、2015年6月3日。オリジナルの2015年6月4日時点におけるアーカイブ。2026年4月22日閲覧。
  10. ↑ 「「4日までメール」、塩崎大臣も知らず　メールやり取りしていた厚労職員も」『産経ニュース』産業経済新聞社、2015年6月10日。オリジナルの2015年6月12日時点におけるアーカイブ。2015年6月11日閲覧。
  11. 1 2 3 「「日本年金機構」にサイバー攻撃　年金情報、最大125万人流出…警視庁が捜査」『産経ニュース』産業経済新聞社、2015年6月1日。オリジナルの2026年4月22日時点におけるアーカイブ。2015年6月1日閲覧。
  12. ↑ 「年金情報、ダウンロードした職員PCから流出か」『朝日新聞』朝日新聞社、2015年6月2日。オリジナルの2015年6月2日時点におけるアーカイブ。2026年4月22日閲覧。
  13. ↑ 「年金情報“流出”　不審メールの内容入手」『日テレNEWS24』日本テレビ放送網、2015年6月3日。オリジナルの2015年6月9日時点におけるアーカイブ。2015年6月3日閲覧。
  14. ↑ “「狙われているのは年金機構だけではない」、カスペルスキーが標的型サイバー攻撃を解説”. 日経コンピュータ. 2015年6月4日. 2021年6月18日時点のオリジナルよりアーカイブ.
  15. ↑ “［続報］日本年金機構、ファイル共有サーバーを5年以上前から運用”. 日経コンピュータ. 2015年6月2日. 2020年3月14日時点のオリジナルよりアーカイブ.
  16. ↑ 「年金情報流出、PW設定1%未満　ずさんな管理浮き彫り」『朝日新聞』朝日新聞社、2015年6月4日。オリジナルの2015年6月5日時点におけるアーカイブ。2026年4月22日閲覧。
  17. ↑ 「情報流出で専用ダイヤル　日本年金機構が設置」『日本経済新聞』日本経済新聞社、2015年6月1日。オリジナルの2026年4月22日時点におけるアーカイブ。2015年6月1日閲覧。
  18. ↑ 「年金情報流出で苦情殺到「見込み甘かった」　態勢拡充へ」『朝日新聞』朝日新聞社、2015年6月2日。オリジナルの2015年6月2日時点におけるアーカイブ。2026年4月22日閲覧。
  19. ↑ 「年金の個人情報125万件が流出　不正アクセス」『朝日新聞』朝日新聞社、2015年6月1日。オリジナルの2015年6月1日時点におけるアーカイブ。2015年6月1日閲覧。
  20. ↑ 「年金機構のホームページ閲覧できず　不正対策で改修中」『朝日新聞』朝日新聞社、2015年6月7日。オリジナルの2015年6月8日時点におけるアーカイブ。2026年4月22日閲覧。
  21. ↑ 「年金機構HP、閲覧不能続く　安全性の改善作業長引く」『朝日新聞』朝日新聞社、2015年6月8日。オリジナルの2015年6月8日時点におけるアーカイブ。2026年4月22日閲覧。
  22. ↑ 「年金個人情報125万件流出…職員がメール開封」『読売新聞』2015年6月1日。オリジナルの2015年6月3日時点におけるアーカイブ。2015年6月1日閲覧。
  23. ↑ 「年金情報流出で検証委員会立ち上げ、塩崎厚労相「備え不十分」」『朝日新聞』朝日新聞社、2015年6月1日。オリジナルの2015年6月3日時点におけるアーカイブ。2015年6月1日閲覧。
  24. ↑ 「「年金機構職員」かたる不審な電話相次ぐ」『朝日新聞』朝日新聞社、2015年6月3日。オリジナルの2015年6月4日時点におけるアーカイブ。2026年4月22日閲覧。
  25. ↑ 「「情報を無料で削除する」　年金情報流出めぐり電話」『朝日新聞』朝日新聞社、2015年6月3日。オリジナルの2015年6月4日時点におけるアーカイブ。2026年4月22日閲覧。

関連項目

[編集]
「https://ja.wikipedia.org/w/index.php?title=年金管理システムサイバー攻撃問題&oldid=109250015」から取得