大阪・関西万博で再委託先への不正アクセス、関係者や出演者の個人情報漏えいのおそれ

大阪・関西万博、再委託先で個人情報漏えいのおそれが発生

大阪・関西万博をめぐり、博覧会協会は20日、委託業務の再委託先への不正アクセスにより、関係者やイベント出演者らの個人情報が漏えいしたおそれがあると発表しました。この事態は、企業が外部に業務を委託する際のセキュリティ管理の甘さが露呈した形であり、多くの事業者にとって他人事ではありません。

不正アクセスの経緯と手口

博覧会協会によりますと、今回の不正アクセスは、委託業務の再委託先で発生しました。ことし5月、フィッシングメールをきっかけに、Microsoft 365のアカウントへの不正アクセスが発生したとされています。不正アクセスは5月13日に確認され、当日中に遮断されたとのことです。フィッシングは、偽のメールやウェブサイトを使って個人情報をだまし取る手口であり、多くの企業がその脅威にさらされています。

漏えいの可能性がある個人情報の範囲

不正アクセスの対象となった可能性があるのは、博覧会協会の委託業務に関係するメールや添付ファイルに含まれるデータです。具体的には、以下のような情報が漏えいしたおそれがあります。

• 再委託先が送受信したメールに含まれる氏名、所属、役職、メールアドレス、電話番号
• 委託先などの従業員の勤務シフトや担当業務
• 見積書・請求書などに記載された担当者情報
• 万博のイベントなどに出演した人の氏名、肩書、写真、スピーチ原稿、進行台本、ステージへの登壇・退場動線

これらの情報は、関係者の連絡先や業務内容、さらにはイベント出演者の詳細な活動情報にまで及びます。このような機密情報が外部に流出すれば、関係者へのなりすましや、さらなるサイバー攻撃の足がかりとなるリスクが高まります。

一般来場者情報やクレジットカード情報への影響は？

現時点では、一般来場者の個人情報やクレジットカード情報が含まれていたことは確認されていません。また、この件による個人情報の不正利用などの二次被害も、現時点では確認されていないとのことです。しかし、今後、状況が変化する可能性も考慮し、継続的な監視と情報収集が求められます。

事業者として今すぐできること：二次被害を防ぐための注意喚起と今後の対策

博覧会協会は、今回の事案を受け、関係者を装った電話やメールが送られる可能性があるとして、注意を呼びかけています。心当たりのない連絡に記載されたリンクや添付ファイルを開かないよう、細心の注意が必要です。

私たち事業者も、この事案から学び、自社の情報セキュリティ体制を見直す必要があります。特に、以下の点に留意しましょう。

• フィッシング詐欺への警戒強化: 従業員への定期的なセキュリティ教育を実施し、不審なメールやリンクを開かないよう徹底すること。
• 委託先の選定と管理: 業務を外部に委託する際は、委託先のセキュリティ対策状況を十分に確認し、契約書に情報管理に関する明確な条項を盛り込むこと。
• インシデント発生時の対応体制: 万が一、情報漏えいなどのインシデントが発生した場合の報告体制や対応手順を明確にし、迅速に対応できる準備を整えること。
• 定期的なセキュリティ監査: 自社だけでなく、委託先や再委託先を含めたサプライチェーン全体の安全管理措置を定期的に確認し、改善を求める体制を構築すること。

博覧会協会も今後、委託先や再委託先の安全管理措置やインシデントの報告体制などを確認し、必要な改善を求めるとしています。これは、サプライチェーン全体のセキュリティガバナンスを強化する上で不可欠なステップです。

まとめ：サプライチェーン全体のセキュリティ強化が急務

今回の大阪・関西万博における個人情報漏えいのおそれの事案は、現代ビジネスにおける情報セキュリティの複雑さと重要性を浮き彫りにしました。特に、業務委託が多層化する中で、サプライチェーン全体でのセキュリティ対策がどれほど重要であるかを私たちに示しています。

自社だけでなく、取引先や再委託先まで含めた情報管理の徹底は、信頼を維持し、事業を継続するための必須条件です。この機会に、自社の情報セキュリティ体制、そしてサプライチェーン全体のセキュリティリスクについて再評価し、必要な対策を講じることを強くお勧めします。