楽天の店舗からの個人情報流出はどこに問題があったのか

楽天市場に出店していたセンターロード社からクレジットカード番号を含む個人情報が漏れていた事件ですが、続報が出てきました。

私は元ネットショップ運営の経験者で楽天市場のシステム(RMS=Rakuten Merchant System)を使ったことがあります。
以下の共同通信の記事を踏まえた上で、なぜ個人情報が漏洩したか考察してみたいと思います。

楽天（東京都港区）が運営する日本最大のインターネットの仮想商店街「楽天市場」の顧客情報流出事件で、警視庁ハイテク犯罪対策総合センターと荒川署は二十七日、不正アクセス禁止法違反の疑いで、楽天市場に出店していた輸入雑貨販売会社「センターロード」（足立区）の元社員橋本安弘容疑者（３３）＝葛飾区白鳥三＝を逮捕した、と発表した。

　調べでは、橋本容疑者は今年五月、台東区内のＪＲ上野駅周辺で自分のパソコンで漏れている無線ＬＡＮの電波を使って楽天のサーバーに計二十七回にわたり接続、センター社の顧客情報を不正に入手した疑い。「一千万円の借金があり、入手した個人情報数万件を名簿業者などに売った」と供述しているという。

　楽天市場では楽天のサーバーで店舗の顧客情報を管理。店舗は楽天から与えられたＩＤやパスワードを入力すると、受注状況や顧客情報を確認できる仕組みだった。橋本容疑者は二〇〇三年七月から今年二月までセンター社に勤め、受注確認などの業務を担当。センター社のパソコンが故障した際、代替機として自分のパソコンを使って役員ら数人しか知り得ないＩＤやパスワードを知ったという。

■楽天側の問題
１・楽天側の問題：RMSでクレジットカード情報を店舗側から見ることができるようにしていたこと。
２・RMSは一組のIDとパスワードで業務の全ての操作を行える(つまり、それらを手にいればなんでもできる。個人情報取得も、ページ改竄も)。

■センターロード社側の問題
１・ID・パスワードを役員以外のパソコンで使用してしまった。
２・ID・パスワードを使った後、ログアウトしてから、「ID・パスワードの入力履歴の消去」を怠った。
３・パスワードを変更する周期が遅いと思われる。
４・社員を信用しすぎた。

楽天側の問題は、セキュリティーシステムの構築が甘かったことですね。しかし、これはYahoo!ショッピングやビッダーズといった他社も同じように甘かったんですよね。問題が起きてから、どのショッピングモールも店舗側にカード情報は見せないシステムに変更しました。

一方、センターロード社の方ですが、端的に言ってセキュリティーに関しての知識が不足してますね。
「１」「２」に関しては、単なる無知。危険性を知らなければ、どうしようもない。

一番問題なのは「３」のパスワードを変更していなかったことです。東京新聞の記事によると、容疑者は今年の2月までセンターロードに勤めていて、退社後の5月に不正アクセスを行ったとのこと。ということは、三ケ月間ほどパスワードを変更していなかったことになります。この３カ月の間に、パスワードを変更していれば、犯罪は防げたでしょうに。

あと、社員を信用しすぎるのもよくありませんね。以下、２００５年７月３０日のセンターロード社のウェブサイトからの抜粋です。

過去の、個人情報の流出事件のその殆どが、人為的原因から発生した事が多い為に、当社では、退社社員派遣社員・パート・アルバイトを含む全ての弊社と雇用関係が一時でもありました方、全てを洗い出し検討した結果、弊社よりの人為的要因から漏洩した事とは思えないとの認識を致しております。弊社従業員数は現在12名がおりますが、数名を除いてパソコン等のレベルは高い位置に無く、有る程度のレベルを持つ者につきましても、小所帯の為、身辺状況も把握し家族的な付き合いからなる会社で有ります。

「家族的な付き合いだから、犯罪を起こす人間なんているわけがない」と言いたかったんでしょうが、残念ながらそれは容疑者がいないことの理由になってませんから。

人間なんて１００人いて１００人が善人なわけじゃないので、犯罪を防ぐ体制を作れているか作れていないか、そこが重要なわけでしょう。残念ながら、今回の事件ではその体制が構築できていなかったわけです。

■では、どうやって個人情報流出を防ぐのか？
カード情報に関しては、楽天はカード情報を自社で一手に握ることにより、店舗からの流出がないように手を打ちました。RMSの画面については、改善の余地があるでしょうね。ページ編集画面と受注処理画面でパスワードを分けるとか。

店舗側に関しては、とりあえず過去の個人情報流出の事例を勉強しろと言いたいですね。ヤフーBBを見るまでもなく、情報は外部からの侵入よりも、内部からの流出の方が多いのだから、それを前提に社内の体制を整えてもらいたいものです。でないと、安心してネットショッピングができません。

■当ブログの関連記事
・2005年07月27日楽天の個人情報流出事件
・2005年07月28日楽天市場の事件に関する報道について
・2005年07月30日楽天、確認できた個人情報流出件数は284件
・2005年08月02日楽天、個人情報漏洩対策でも儲けるつもりか
・2005年08月06日非常に強引な「楽天・三木谷社長」
・2005年08月07日楽天の個人情報流出は3万6239件に、該当ショップは1店舗のみ
・2005年08月09日ビッダーズからも個人情報流出、該当ショップはAMC
・2005年08月10日強引な楽天に店舗側が反発
・2005年09月21日楽天、個人情報保護の施策で店舗側に譲歩

▼当サイト管理人ネット証券マニア兜達也がおすすめする証券会社

私は以下の証券会社やFX会社の口座を全て開設しています。どこの会社も口座開設費や口座維持費は無料ですし、証券会社にはそれぞれ特徴があるので、用途によって使いわけるのがいいでしょう。

楽天証券・・・手数料が安めの証券会社です。リンク先で手数料体系を見てみてください。マーケットスピードの情報収集能力がすばらしい。楽天証券は最強の個人投資家「ジェイコム20億男BNF氏」のメイン証券会社です。
　6月14日から取引手数料無料でスプレッドが狭い「楽天FX」が始まっています。
マネーパートナーズ・・・ヘラクレス上場のFX取引大手です。2008年8月29日まで、新規口座開設して10万円以上の入金をすると現金3000円がもらえるキャンペーンをやっています。キャンペーンの詳細についてはこちら
　為替取引は怖いと思う方は、口座開設と入金をして3000円をもらった後、取引をするかどうか考えればいいと思います。入金だけなら元本割れのリスクはありませんから。ちなみに、入金しなくても口座開設するだけで1000円がもらえます。

　キャンペーンを使った小技：夫婦で二つ口座を作って、両方とも入金すれば合計で現金6000円をもらうことができます。
外為どっとコム・・・FX大手です。2008年8月29日まで、新規口座開設して30万円以上の入金し、1万通貨以上の取引をすると現金5000円がもらえるキャンペーンをやっています。キャンペーンの詳細についてはこちら

　キャンペーンを使った小技：夫婦で二つ口座を作って、両方とも入金し、取引も行えば合計で現金10000円をもらうことができます。
セントラル短資FX・・・FX大手です。2008年9月30日まで、新規口座開設して10万円以上の入金し、1万通貨以上の取引をすると現金6000円がもらえるキャンペーンをやっています。取引をしなくても口座開設するだけで1000円はもらえます。キャンペーンの詳細についてはこちら

　キャンペーンを使った小技：夫婦で二つ口座を作って、両方とも入金し、取引も行えば合計で現金12000円をもらうことができます。
インヴァスト証券・・・2008年10月31日まで、新規に口座を開設して1ヶ月以内に入金し、１回以上の取引を行うと初回入金額に応じてJCBギフトカード3000円～1万円分をもらうことができます。詳細についてはこちら
岡三オンライン証券・・・2008年6月23日から9月30日までの間、日本株の取引手数料無料キャンペーン実施中です。詳細についてはこちら
　また、2008年12月末まで「岡三ネットトレーダープレミアム」というトレーディングツールを無料で利用することができます。
ジョインベスト証券・・・野村ホールディングスの子会社です。6月30日から逆指値注文、上下指値注文、追跡逆指値注文、連続注文が使えるようになりました。
SBI証券・・・株取引、日経225先物取引、日経225miniの手数料が安い。手数料が安いので株や日経225miniの売買回数が多い人に向いている証券会社。
そしあす証券・・・50万までの手数料が231円、50万～300万円までの手数料が462円となっています。また、制度信用取引の金利が１．８６％と非常に安い。
岩井証券・・・株の手数料が84円からとなっていて逆指値が使える証券会社の中では最安値水準です。リンク先で手数料体系を見てみてください。さらに日経225miniの手数料は105円、日経225先物の手数料は525円と安め。東証1部上場企業です。
マネックス証券・・・IPOが単純明快な公平抽選ですので、新規公開株申し込み口座として活用すべきです。逆指値・ツイン指値と夜間取引が使えるのでサラリーマンにおすすめ。
　日経225先物取引の手数料が525円でデイトレードは片道無料なので、現在、業界最安値です。日経225miniは手数料105円でデイトレ片道無料となっています。
オリックス証券・・・2008年2月4日から日経225miniの手数料が1枚52.5円、日経225先物の手数料が472.5円になりました。IPOは単純明快な公平抽選。
カブドットコム証券・・・逆指値、±指値、W指値など多彩な注文機能が使えます。IPOは単純明快な公平抽選。手数料は高めですが、発注方法が充実しているのでサラリーマンにおすすめ。
丸三証券・・・口座開設後2ケ月間は株取引の手数料が無料なのでトレードの練習用に使えます。東証1部上場企業。
松井証券・・・無料でネットストックハイスピードというトレーディングツールが使えます。IPOは単純明快な公平抽選。
内藤証券・・・株取引の手数料が200円からと安く、使い方によってはSBI証券より手数料がかかりません。また、中国株のサービスや投資情報が充実しています。
ジェット証券・・・IPOに気軽に参加できます。新規上場銘柄のブックビルディング抽選の参加に前受け金が必要ありません。購入資金の振込みは当選してからでいいのです。
　なお、現在キャンペーン中につき、ジェット証券の口座を開設すると、『はじめての株式投資　スタートBOOK』という初心者向けの株式投資解説本がタダでもらえます。