ゆめさくセキュリティ

2022年6月22日に発覚、日本、地方自治体

尼崎市 全市民情報USBメモリー紛失事案

委託先が無断で再々委託した従業員が全市民の個人情報入りUSBを持ち出し酔って紛失した

何があったか

2022年6月21日、尼崎市の臨時特別給付金業務の委託先BIPROGY(B社)から無断で再々委託を受けていた従業員Aが、市政情報センターのサーバルームで全市民約46万人分の住民基本台帳データなどをUSBメモリー2本にコピーした。Aはこれを鍵のかからない革製のカバンに入れたままコールセンターでの作業に向かい、作業後にB社従業員らと飲食店で会食して酒を多量に飲んだ。深夜に目が覚めると見知らぬ場所で寝ており、カバンごとUSBメモリーを紛失していた。Aは翌22日に遺失物届を出し、同日午後3時45分頃B社から市に第一報が入った。

市は6月23日に記者発表し、専用相談ダイヤルを設けた。警察と一緒に記憶をたどって捜索した結果、6月24日午前11時半頃にカバンが見つかり、USBメモリー2本もそのまま入っていた。市は同日中に発見を発表した。市は7月1日に外部有識者3名からなる調査委員会を設置し、デジタルフォレンジック調査とヒアリングを行った。

調査委員会は11月28日、USBメモリーおよび関連する機器の解析の結果、個人情報の漏えいは確認されなかったと報告するとともに、B社が20年以上前から市に無断で再委託・再々委託を続けていたことなど複数の契約違反を指摘した。市はB社を18か月間の入札参加停止とし、約2,950万円の損害賠償を請求してB社は全額を支払った。

入口
住民基本情報を扱う委託業務に、市の承諾を得ない再委託・再々委託によって入り込んでいた従業員が、サーバルームで給付金サーバの全市民データをUSBメモリーにコピーし持ち出した
決め手の失敗
再委託・再々委託の承諾を書面で確認しない運用のため、市はサーバルームへの入退室管理カードを無断の再委託先・再々委託先の従業員にまで貸与していた。USBメモリーの持ち出しや使用に記録・許可の手続きがなく、施錠できる運搬用ケースも使われていなかった
被害
全市民約46万人分の住民基本台帳情報、住民税情報、給付金対象世帯情報、生活保護・児童手当受給世帯の口座情報等を含むUSBメモリー2本が一時紛失した。市は記者発表や専用相談ダイヤルの対応に追われ、通常業務にも支障が生じた。調査費用等の有形損害として約2,950万円の損害賠償を市はB社に請求し全額支払われた

攻撃の流れ

  1. 入口B社は市に無断で再委託・再々委託を行い、再々委託先の従業員Aを含む関係者をあたかもB社従業員であるかのように市と接触させていた。サーバルーム入退室用の管理カードもB社関西支社長名義の依頼書に無断の再委託先・再々委託先従業員の氏名を記載する形で市から交付されていた
  2. 権限の濫用Aは2022年6月21日午前、市政情報センター3階のサーバルームに単独で入室し、給付金サーバに管理者IDとパスワードでログインして全市民の住民基本台帳データ等を、鍵のかからない引出しに共用で置かれていたUSBメモリー2本にコピーした。USBメモリーの持ち出し・返却やデータ消去を記録する仕組みはB社側になかった
  3. 持ち出しと紛失Aはコピーしたデータ入りUSBメモリー2本を施錠できないカバンに入れたまま、公共交通機関でコールセンターへ移動し作業を行った。作業後、B社従業員らに誘われて飲食店で会食し酒を多量に飲んだ結果、翌22日未明にカバンごと紛失した
  4. 発覚と捜索Aは22日未明に紛失に気づき遺失物届を交番に提出、同日午後B社から市に第一報があった。市は6月23日に記者発表し、Aは警察とともに記憶をたどって捜索した
  5. 発見と確認6月24日午前11時半頃、カバンとUSBメモリー2本が屋外で発見され、財布等もそのまま残っていた。市はデジタルフォレンジック調査により、紛失・発見までの間に正しいパスワードでのログイン形跡がなく、データの漏えいは認められないと結論づけた

数字で見る

  • 46万517人 住民基本台帳の対象者数[1]
  • 36万573件 住民税に係る税情報[1]
  • 29,501,005円 損害賠償請求額(B社に請求し全額支払われた)[5]
  • 18か月間 B社の入札参加停止期間[4]
  • 約2日半 紛失から発見までの日数[1] 6月22日未明の発覚から6月24日午前11時半頃の発見まで。資料の日付から数えた

気づいたきっかけ

業務委託先の再々委託先従業員Aが帰宅途中に目を覚ました際、USBメモリーの入ったカバンがないことに自ら気づいた。22日午後3時45分頃、B社から市に紛失の第一報があった

対応と復旧

市は6月23日に記者発表し専用相談ダイヤルを設けた。Aは警察と共に記憶をたどって捜索し、6月24日に発見された。市は7月1日に外部有識者3名による調査委員会を設置してデジタルフォレンジック調査とヒアリングを実施し、11月28日の報告書受領後、サーバルームの入退室への業者単独入室の制限、生体認証の導入、監視カメラの増設、USBメモリーに代わるクラウド上のファイル転送サービスの導入、再委託承認手続きの見直し、データ消去証明書・廃棄証明書の提出義務化、外部監査の導入などを順次実施した。B社に対しては18か月間の入札参加停止と損害賠償請求を行い、全額の入金を確認した

組織が認めた原因と、決めた対策

認めた原因

  • 受託者であるB社の再々委託先従業員が、市の承諾を得ないまま個人データをUSBメモリーにコピーし、施錠できる金属ケースでの運搬などの契約上定められた手続きを取らずに社外へ持ち出した
  • B社は市が契約書等で定めていたにもかかわらず、市の承諾を得ることなく委託業務の再委託・再々委託を行っていた
  • セキュリティ対策基準を含む契約の締結にかかわったB社従業員が、USBメモリーを帯同した作業者の飲み会について異議や注意喚起を行わず、作業者の管理監督ができていなかった
  • 市はデータの管理者としてチェック機能を効かせ、外部業者の濫用を抑止するとともに作業者に安全確保の自覚を持たせる必要があったが、十分に行えていなかった

公表した再発防止策

  • サーバルームへの事業者単独での入室を制限し、入退室管理に生体認証を導入する。ICカードの貸与依頼時に顔写真付き社員証等の写しの添付を義務付ける
  • 個人情報を取り扱う委託事業者に、データ消去証明書および記憶媒体等の廃棄証明書の提出を義務付ける
  • 委託事業者へのデータ送信は、USBメモリー等の外部記録媒体ではなく、新たに導入したクラウド上のファイル転送サービスの利用を原則とする
  • 再委託承認申請書の提出時に、再委託先が業務を適正に履行することが分かる書類の添付を義務付け、受託者が再委託先の全ての行為とその結果に責任を負うことを契約文言に明記する
  • 情報セキュリティに関する専門的知見を持つ第三者による外部監査を導入し、内部監査と合わせて全システムが毎年何らかの監査を受ける体制にする

自分のサービスで確かめること

  • 委託契約で再委託・再々委託を禁じている場合、再委託先・再々委託先の存在を書面で確認し、現場の作業者の所属を本人確認書類で照合しているか確かめる
  • 重要なデータを管理するサーバールームやシステムへの入退室権限が、委託元の申請書の記載だけを根拠に付与されていないか棚卸しする
  • 個人データを外部記録媒体にコピーして持ち出す運用が残っていないか、クラウド転送など代替手段に切り替えられているか確かめる
  • 記録媒体の持ち出し・返却・データ消去を記録する使用記録簿があり、第三者が確認できる状態になっているか確かめる
  • 委託先に対する定期的なセキュリティ監査と、個人情報の取り扱い状況の報告義務が実際に運用されているか確かめる

関わる攻撃とレッスン

学べるレッスン

時系列

  1. 2022年
  2. 6月21日 侵入 再々委託先従業員Aが給付金サーバから全市民の個人データをUSBメモリー2本にコピーし、施錠できないカバンに入れて持ち出した[3]
  3. 6月22日 発覚 Aが未明にカバンごとUSBメモリーの紛失に気づき遺失物届を提出。同日午後3時45分頃B社から市に第一報があった[1]
  4. 6月23日 公表 市が記者発表し、専用の相談ダイヤルを設けた[1]
  5. 6月24日 復旧 カバンとUSBメモリー2本が発見され、市が発見を発表した[2]
  6. 7月1日 対応 市が外部有識者3名からなる尼崎市USBメモリー紛失事案調査委員会を設置した[4]
  7. 11月28日 公表 調査委員会が調査報告書を提出し、個人情報の漏えいは確認されなかったことと、B社の無断再委託・再々委託などの問題を報告した[3]
  8. 11月28日 処分 市は最高情報セキュリティ責任者(副市長)を給与月額1/10の1か月分減額相当、統括情報セキュリティ責任者(総務局長)を戒告とした[4]
  9. 2023年
  10. 6月 対応 市がB社に対し損害賠償29,501,005円を請求する方針を公表した[5]
  11. 6月29日 対応 B社から損害賠償金29,501,005円の全額入金があった[6]

攻撃した側について

外部からの攻撃ではなく、委託先の無断再委託・再々委託先従業員による個人データの社外持ち出しと紛失であり、攻撃者は存在しない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. 住民税非課税世帯等に対する臨時特別給付金における個人情報を含むUSBメモリーの紛失について 尼崎市、2022年6月23日、被害組織の資料
  2. 紛失していたUSBメモリーの発見について 尼崎市、2022年6月24日、被害組織の資料
  3. 尼崎市USBメモリー紛失事案に関する調査報告書 尼崎市USBメモリー紛失事案調査委員会、2022年11月28日、調査委員会の資料
  4. 市長記者会見資料 尼崎市USBメモリー紛失事案調査委員会調査報告書を受けての市の対応について 尼崎市、2022年11月28日、被害組織の資料
  5. USBメモリー紛失事案発生後の本市の対応について 尼崎市、2023年6月9日、被害組織の資料
  6. BIPROGY株式会社からの損害賠償金の全額入金について 尼崎市、2023年6月29日、被害組織の資料