【2014年】ベネッセ3,504万件流出 補償原資200億円、判決は1人3,300円

何が起きたのか

2014年6月27日、ベネッセコーポレーションはお客様からの問い合わせで情報漏えいの可能性を知りました。7月7日に自社からの漏えいと確認し、7月17日に警視庁が業務委託先の元社員を逮捕しました。

調査委員会の報告によると、元社員はグループ会社シンフォームの業務に就いていました。顧客データベースの個人情報を業務用のパソコンに保存し、USB ケーブルで自分のスマートフォンに移して、名簿業者3社に売却しました。

売却されたデータの延べ件数は約2億1,639万件でした。同じ内容を除くと約6,984万件、同じ人をまとめると約3,504万件になります。1件に複数の人が登録されている場合があり、人の単位では約4,858万人です。会社は実際に被害を受けたお客様を約2,895万件と推計しています。

漏れたのは氏名、性別、生年月日、住所、電話番号などで、一部のサービスでは出産予定日やメールアドレスも含みます。名簿業者へのクレジットカード情報の売却は確認されていません。

会社に何が起きたのか

• 補償：お詫びの原資として200億円を用意（2014年7月）
• 補償の形：500円分の金券（電子マネーギフトまたは全国共通図書カード）。2014年9月中旬からお詫びの手紙を送付
• 行政：2014年9月26日、経済産業省が個人情報保護法に基づいて勧告。10月24日に改善報告書を提出
• 業績：2015年3月期に情報セキュリティ対策費260億39百万円を特別損失に計上。最終損益は107億5百万円の赤字（前期は199億30百万円の黒字）
• 会員：国内の「進研ゼミ」「こどもちゃれんじ」の4月の会員数は2014年の365万人から2015年に271万人、2016年に243万人へ減少
• 営業：商品やサービスの営業活動を一部止め、本格的な再開は2015年1月以降
• 刑事：元社員に懲役2年6月、罰金300万円（東京高裁、2017年3月21日）
• 役員：報道によると、ベネッセホールディングスの取締役2人が引責辞職

最終損益の赤字は翌2016年3月期も続き（82億11百万円）、黒字に戻ったのは2017年3月期でした。国内の会員数は2018年4月に257万人まで戻しましたが、2014年の水準には届いていませんでした。

裁判で示されたこと

最高裁は2017年10月23日、迷惑行為や金銭の被害がないことだけを理由に請求を退けた大阪高裁の判決を破棄しました。漏えいはプライバシーの侵害にあたるとして、精神的な損害を審理するよう差し戻しています。

その後の東京高裁の判決は金額を示しました。第23民事部は、個人情報が漏えいした原告1人あたり3,300円の支払いをベネッセとシンフォームに連帯して命じました。内訳は慰謝料3,000円と弁護士費用300円です。第16民事部の判決は1人2,000円でした。実害が認められないことや、発覚後の対応と500円相当のお詫びが金額の判断に考慮されています。

第16民事部は委託元の責任にも触れました。ベネッセがセキュリティソフトの設定の状況について適切に報告を求めていれば、書き出しの制御が不十分だと知って指示できた、としています。そうした監督に過度の負担はないとも述べました。

なぜそこまで広がったのか

調査委員会は仕組みと体制の両方の問題を挙げました。

外部媒体への書き出しを止める仕組みはありましたが、バージョンアップのときに、特定の新機種のスマートフォンには効かない状態が生じていました。東京高裁の判決によると、データの転送に MTP という方式を使うスマートフォンは制御の対象から外れていました。通信量が多いときの警告の仕組みも、このデータベースとの通信を対象にしていませんでした。ログは記録していましたが、不正を想定して定期的に見てはいませんでした。

東京高裁の判決によると、元社員はシンフォームから見て3次委託先の会社の従業員でした。調査委員会の報告は、どの委託先に属するかを把握しないまま広い権限を与える場合があったとし、社内の人間が持ち出すことはあり得ないという意識があった可能性も指摘しています。

再発防止と続いた対応

再発防止策ではデータベースの管理、保守と運用、利用の3つを別々の主体に分け、互いに監視する形を掲げました。シンフォームは本番の個人情報を扱う保守と運用を外部に委託せず、開発の再委託も原則として禁じる方針としました。

2014年10月に内部統制と監査を担う CLO（最高法務責任者）を置き、社外の有識者5人による監視委員会を設けました。保守と運用については情報セキュリティ会社ラックとの合弁会社の設立で合意しています。2015年2月には金属探知ゲートとミリ波のボディスキャナーの導入を公表し、6月にはベネッセコーポレーションの学校本部が ISMS（情報セキュリティの管理の仕組み）の認証を取得しました。

売却された情報への対応は長く続きました。会社のページには、情報の利用が疑われる事業者への事実確認や利用停止の働きかけの記録が2014年12月から並び、最も新しいものは2022年3月9日です。

中小企業が学ぶこと

1人あたりの額は小さくても、件数が多ければ負担は大きくなります。売却された情報への対応は何年も続くことがあります。

委託先の先にまた委託先がいないかを確かめ、データベースに入れる人の一覧を会社の所属まで含めて出してもらいましょう。判決が委託元の過失を認めたのは、報告を求めていれば分かったという理由でした。セキュリティソフトで何を止めているかの設定の一覧を、年に1回は出してもらいます。

書き出しの制御は入れただけで終わりにせず、更新のたびに試しておきたいところです。新しいスマートフォンを業務用のパソコンにつなぎ、ファイルをコピーできないかを実際に確かめます。

内部の人が持ち出す場合も想定して、権限は定期的に見直しましょう。大量の取得がないかをログで見る担当も決めます。分析に使うデータから氏名や住所を外しておくと、持ち出されたときの被害を抑えられます。