何が問題になるか
場面
社員が、取引先や利用中のサービスをかたるメールから偽サイトに誘導され、業務用のIDとパスワードを入力してしまうことがあります。情報処理推進機構は、フィッシングを「実在のサービスや企業をかたり、偽のメールやSMSで偽サイトへ誘導し、IDやパスワードなどの情報を盗む手口」と説明しています。乗っ取られると、メールやデータを見られ、その社員の名前で取引先にメールを送られます。
法律の整理
入力に気づいたら、直ちにパスワードを変更し、全端末からサインアウトさせ、多要素認証を設定します。同じパスワードを使い回している他のサービスも変えます。個人データが閲覧・持ち出された可能性があれば、個人情報保護委員会への報告対象になります。業務用アカウントの乗っ取りは「不正アクセス」として警察に相談できます。
パスワードの変更、全端末のサインアウト、多要素認証
根拠は不正アクセス禁止法です。第2条は、第4項第1号で、「他人の識別符号を入力して」制限されている利用をし得る状態にさせる行為を、不正アクセス行為としています。第3条は「何人も、不正アクセス行為をしてはならない。」と定めています。第9条は、第1項で、アクセス管理者が都道府県公安委員会に援助を申し出られることを定めています。
会社が備えること
確認すること
- 乗っ取られたアカウントから送られたメールと送信先
- アカウントからアクセスされたデータと、個人データの有無
- 転送設定や、登録したメールアドレス・電話番号の書換えの有無
- 同じパスワードを使っている他のサービス
- 入力の前に、訓練や注意喚起をしていたか
対応
パスワードの変更、全端末のサインアウト、多要素認証の設定を先に行います。情報処理推進機構も、多要素認証を設定していれば「IDおよびパスワードを不正に利用されても、それだけではログインできない」と説明しています。顧客や取引先に不審なメールが届いていれば、注意喚起をします。個人データに関わる場合は、個人情報保護委員会への報告を準備します。初動の流れは不正アクセスを受けたことが分かりました。最初の数時間で何をすべきですかにまとめています。
入力した社員への懲戒は慎重に考えます。訓練や注意喚起をしていたか、手口の巧妙さを踏まえ、処分より再発防止を優先します。手続は社員を懲戒処分にしたい。手続はどこまで必要ですかで扱っています。
送られたメールと、アクセスされたデータを確認
ご相談で伺うこと
- 入力に気づいた日時と、パスワードを変えた日時
- アカウントの種類と、アクセスできた範囲
- 送られたメールと、それが届いた取引先
- 個人データの種類と件数の見込み
- 社内の訓練・注意喚起の記録と、就業規則の懲戒の定め