楽天市場に出店していたセンターロード社からクレジットカード番号を含む個人情報が漏れていた事件ですが、続報が出てきました。
私は元ネットショップ運営の経験者で楽天市場のシステム(RMS=Rakuten Merchant System)を使ったことがあります。
以下の共同通信の記事を踏まえた上で、なぜ個人情報が漏洩したか考察してみたいと思います。
楽天(東京都港区)が運営する日本最大のインターネットの仮想商店街「楽天市場」の顧客情報流出事件で、警視庁ハイテク犯罪対策総合センターと荒川署は二十七日、不正アクセス禁止法違反の疑いで、楽天市場に出店していた輸入雑貨販売会社「センターロード」(足立区)の元社員橋本安弘容疑者(33)=葛飾区白鳥三=を逮捕した、と発表した。
調べでは、橋本容疑者は今年五月、台東区内のJR上野駅周辺で自分のパソコンで漏れている無線LANの電波を使って楽天のサーバーに計二十七回にわたり接続、センター社の顧客情報を不正に入手した疑い。「一千万円の借金があり、入手した個人情報数万件を名簿業者などに売った」と供述しているという。
楽天市場では楽天のサーバーで店舗の顧客情報を管理。店舗は楽天から与えられたIDやパスワードを入力すると、受注状況や顧客情報を確認できる仕組みだった。橋本容疑者は二〇〇三年七月から今年二月までセンター社に勤め、受注確認などの業務を担当。センター社のパソコンが故障した際、代替機として自分のパソコンを使って役員ら数人しか知り得ないIDやパスワードを知ったという。
■楽天側の問題
1・楽天側の問題:RMSでクレジットカード情報を店舗側から見ることができるようにしていたこと。
2・RMSは一組のIDとパスワードで業務の全ての操作を行える(つまり、それらを手にいればなんでもできる。個人情報取得も、ページ改竄も)。
■センターロード社側の問題
1・ID・パスワードを役員以外のパソコンで使用してしまった。
2・ID・パスワードを使った後、ログアウトしてから、「ID・パスワードの入力履歴の消去」を怠った。
3・パスワードを変更する周期が遅いと思われる。
4・社員を信用しすぎた。
楽天側の問題は、セキュリティーシステムの構築が甘かったことですね。しかし、これはYahoo!ショッピングやビッダーズといった他社も同じように甘かったんですよね。問題が起きてから、どのショッピングモールも店舗側にカード情報は見せないシステムに変更しました。
一方、センターロード社の方ですが、端的に言ってセキュリティーに関しての知識が不足してますね。
「1」「2」に関しては、単なる無知。危険性を知らなければ、どうしようもない。
一番問題なのは「3」のパスワードを変更していなかったことです。東京新聞の記事によると、容疑者は今年の2月までセンターロードに勤めていて、退社後の5月に不正アクセスを行ったとのこと。ということは、三ケ月間ほどパスワードを変更していなかったことになります。この3カ月の間に、パスワードを変更していれば、犯罪は防げたでしょうに。
あと、社員を信用しすぎるのもよくありませんね。以下、2005年7月30日のセンターロード社のウェブサイトからの抜粋です。
過去の、個人情報の流出事件のその殆どが、人為的原因から発生した事が多い為に、当社では、退社社員派遣社員・パート・アルバイトを含む全ての弊社と雇用関係が一時でもありました方、全てを洗い出し検討した結果、弊社よりの人為的要因から漏洩した事とは思えないとの認識を致しております。弊社従業員数は現在12名がおりますが、数名を除いてパソコン等のレベルは高い位置に無く、有る程度のレベルを持つ者につきましても、小所帯の為、身辺状況も把握し家族的な付き合いからなる会社で有ります。
「家族的な付き合いだから、犯罪を起こす人間なんているわけがない」と言いたかったんでしょうが、残念ながらそれは容疑者がいないことの理由になってませんから。
人間なんて100人いて100人が善人なわけじゃないので、犯罪を防ぐ体制を作れているか作れていないか、そこが重要なわけでしょう。残念ながら、今回の事件ではその体制が構築できていなかったわけです。
■では、どうやって個人情報流出を防ぐのか?
カード情報に関しては、楽天はカード情報を自社で一手に握ることにより、店舗からの流出がないように手を打ちました。RMSの画面については、改善の余地があるでしょうね。ページ編集画面と受注処理画面でパスワードを分けるとか。
店舗側に関しては、とりあえず過去の個人情報流出の事例を勉強しろと言いたいですね。ヤフーBBを見るまでもなく、情報は外部からの侵入よりも、内部からの流出の方が多いのだから、それを前提に社内の体制を整えてもらいたいものです。でないと、安心してネットショッピングができません。
■当ブログの関連記事
・2005年07月27日
楽天の個人情報流出事件・2005年07月28日
楽天市場の事件に関する報道について・2005年07月30日
楽天、確認できた個人情報流出件数は284件・2005年08月02日
楽天、個人情報漏洩対策でも儲けるつもりか・2005年08月06日
非常に強引な「楽天・三木谷社長」・2005年08月07日
楽天の個人情報流出は3万6239件に、該当ショップは1店舗のみ・2005年08月09日
ビッダーズからも個人情報流出、該当ショップはAMC・2005年08月10日
強引な楽天に店舗側が反発・2005年09月21日
楽天、個人情報保護の施策で店舗側に譲歩
posted by 兜達也(かぶと たつや) at 23:43
|
Comment(0)
|
個別銘柄ニュース>楽天関連