NTT西日本グループ 委託先元派遣社員による顧客情報の不正持ち出し

何があったか

入口

システムの運用保守業務に従事していた元派遣社員が、顧客データを保管するPDSサーバに特権的にアクセスできる立場を使い、閉域網の本件ネットワークに保守端末等からアクセスした

決め手の失敗

PDSサーバの顧客データのダウンロードを制御する仕組みやログの定期点検がなく、上長による業務監督も実効的に機能していなかった。2022年に委託先から疑いの指摘を受けた過去調査も、ログの誤読と虚偽報告により漏えいなしと誤った結論を出した

被害

69の委託元団体に関する顧客情報約928万件が長期間にわたり持ち出され、一部は名簿業者に売却された。ProCXとBSは個人情報保護委員会から勧告と指導を、NTT西日本は総務省から行政指導を受けた

攻撃の流れ

1. 入口BSの元派遣社員は、ProCX向けのコールセンターシステムの運用保守業務の有スキル者として、貸与された保守端末や、本来想定されていなかった在宅オプションのID・パスワードを使い、閉域網である本件ネットワークにアクセスできる立場にあった
2. 持ち出しPDSサーバの全テナントの顧客データを閲覧・ダウンロードできるシステム管理者アカウントを使い、ダウンロードを制御する仕組みも振る舞い検知もないまま顧客データを取得し、保守端末に接続した私有USBメモリ等で外部に持ち出した
3. 長期化上長とは異なる拠点で勤務して単独作業が常態化していたため、約10年間にわたり上長や同僚による実質的な監督や相互牽制が働かず、ログインログやエクスポートログの定期点検も行われなかった
4. 過去調査の失敗2022年に委託先企業から疑いの指摘を受けProCXとBSが調査したが、担当者4名のみでエクスポートログを誤読し、USBポートの有無など社内体制についても虚偽の回答をして漏えいなしと結論づけ、NTT西日本へのエスカレーションもしなかった
5. 発覚と行政処分2023年7月の警察の捜索を機に発覚し、同年10月の公表後の調査で69団体約928万件の持ち出しが判明した。2024年1月に個人情報保護委員会がProCXとBSに勧告・指導を行い、2月に総務省がNTT西日本に行政指導を行った

数字で見る

• 約928万人分 不正に持ち出された個人データ[3] 委託元69団体分。2023年10月17日の公表時点は約900万件・59団体
• 81件 クレジットカード情報を含む件数[1] 委託元2社分
• 約10年間 不正持ち出しが行われた期間[1] 2013年7月頃から2023年2月頃まで
• 443システム 緊急点検を行ったシステム数[2]
• 約2900名 アンケート調査の対象人数[2] 運用責任者288名を含む
• 約100億円 再発防止に割り付けた予算規模[2]

気づいたきっかけ

2023年7月13日、元派遣社員の勤務先であるBSの拠点に警察の捜索が入り、本人が音信不通になったことを契機に不正が発覚した。2022年には委託先企業からの疑いの指摘を受けた調査があったが、その時点では漏えいの事実を把握できなかった

対応と復旧

NTT西日本グループは外部弁護士のみで構成する過去調査検証チームと外部有識者を含む情報セキュリティTFを設置し、関係者ヒアリングやデジタルフォレンジックで事実関係を調べた。あわせて顧客情報を保有する443システムの緊急点検と運用責任者等約2900名への意識調査を行い、2024年2月に調査報告書と再発防止策をまとめた

組織が認めた原因と、決めた対策

自分のサービスで確かめること

• 顧客データをダウンロードできるアカウントが個人ごとに分かれ、共用されていないか確かめる
• 重要なデータへのダウンロードや持ち出しのログを誰がいつ点検しているか、担当者と頻度を確かめる
• 保守端末や特権アカウントの利用者が外部記録媒体への書き出しやインターネット接続を制限されているか確かめる
• 特定の担当者だけに業務が長期間集中し、上長や同僚による実質的な監督が及んでいない作業がないか棚卸しする
• 委託先から疑いの指摘を受けたとき、少人数の身内だけで調査を完結させず、上位組織へのエスカレーション手順があるか確かめる

関わる攻撃とレッスン

時系列

1. 2013年
2. 7月 侵入 BSに派遣されていた元派遣社員がPDSサーバの顧客データの不正な持ち出しを始めた[1]
3. 2022年
4. 4月 対応 委託先企業の一社からの依頼でProCXとBSが社内調査を実施したが、漏えいの事実を把握できず問題ない旨を報告した[1]
5. 2023年
6. 7月13日 発覚 元派遣社員の勤務先に警察の捜索が入り、本人が出勤しなくなった[1]
7. 10月17日 公表 ProCX、BSとNTT西日本が顧客情報の不正流出を公表した(当初は約120万件、委託元全体で約900万件)[5]
8. 12月19日 公表 ProCXとBSがクライアントへの紐づけ作業の結果を続報として公表した[2]
9. 2024年
10. 1月24日 処分 個人情報保護委員会がProCXとBSに勧告および指導を行った[3]
11. 1月31日 対応 元派遣社員が逮捕された(2024年2月21日起訴)[2]
12. 2月9日 処分 総務省がNTT西日本に委託先の適切な監督について行政指導を行った[6]
13. 2月19日 公表 社内調査委員会が調査報告書を提出した[1]
14. 2月29日 公表 NTT西日本グループが再発防止の取組みを公表し、ProCXとBSが個人情報保護委員会へ報告した[2]

攻撃した側について

元派遣社員は調査報告書や公的資料では「X」とのみ記載され、実名は公表されていない。個人情報保護委員会は、Xから持ち出された個人データを取得していた名簿業者2社(株式会社中央ビジネスサービス、ネクストステージ合同会社)の社名を公表し、不適正取得等を理由に指導等を行ったが、NTT西日本グループを狙った外部の攻撃者集団は確認されていない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

1. 調査報告書 社内調査委員会、2024年2月19日、調査委員会の資料
2. お客さま情報の不正持ち出しを踏まえたNTT西日本グループの情報セキュリティ強化に向けた取組みについて 西日本電信電話株式会社、株式会社NTTマーケティングアクトProCX、NTTビジネスソリューションズ株式会社、2024年2月29日、被害組織の資料
3. 株式会社NTTマーケティングアクトProCX及びNTTビジネスソリューションズ株式会社に対する個人情報の保護に関する法律に基づく行政上の対応について(概要資料) 個人情報保護委員会、2024年1月24日、公的機関の資料
4. 株式会社NTTマーケティングアクトProCX等における不正持ち出し事案に対する個人情報の保護に関する法律に基づく行政上の対応について(概要資料) 個人情報保護委員会、2024年9月11日、公的機関の資料
5. お客さま情報の不正流出に関するお詫びとお知らせ 西日本電信電話株式会社、2023年10月17日、被害組織の資料
6. 当社に対する総務省からの指導について 西日本電信電話株式会社、2024年2月9日、被害組織の資料