NTT西日本子会社から約900万件の個人情報流出…元派遣社員が10年間持ち出し

NTTグループでは3月にもNTTドコモにおいて業務委託先の元派遣社員の不正持ち出しによる個人情報最大596万件の流出が発生しており、今回の流出においてもドコモに関連する顧客情報約72,000件が含まれていたとしています。

各社では、保守作業端末にて顧客情報のダウンロードや外部媒体の接続が可能となっていたことに加え、セキュリティリスクが大きいと想定される振る舞いの検知、各種ログ等の定期的なチェックができていなかったことを流出の原因とし、それぞれについて対策を行うとしています。

BS社からの不正持ち出しが始まった翌年2014年7月にベネッセにて個人情報流出事案(被害個人情報最大3,504万件)が発覚、持ち出しの手口についても今回とほぼ共通していたもので、この時点で今回出された対策をとるべく点検を行っていれば、以後の流出は阻止できた可能性もあったと思われます。

keepassのフィッシングは、英数字以外の文字を使用する「国際化ドメイン名(IDN)」を悪用したもので、似たような事例としてGIMPの偽サイト等がGoogle検索の広告に現れるケースが報告されています。

飾り文字を含むURLは通常のテキストのチェックでは検出が困難な一方、ブラウザー上ではクリック時に飾り文字を削除して扱われるため、アンチウイルスやブラウザー等のアンチフィッシング機能でも同様にURLの正規化を行ってのチェックを行う必要があるでしょう。

このようなフィッシング等の攻撃の手口があることを常に把握するよう情報収集を行い、アンチウイルス・UTMによる防御も確実に実行しつつ、メールや広告に表示されたURLを安易にクリックしない等慎重に行動することが肝要です。