機密情報とは？ 漏えいして困る情報ランキング50、1位は管理者の認証情報【特集】

漏れたらいちばん困る情報は、顧客名簿でもカード番号でもありませんでした。社内と委託先にある50の情報を5つの物差しで採点すると、1位はクラウドやID基盤の管理者の認証情報です。それ自体は個人情報ではないのに、漏れると残りの49の多くに一度で手が届きます。

10月1日から29日までに、情シスのミカタが国内の事故として記録した記事は170本。そのうち149本が、不正アクセスやランサムウェア、情報漏えいでした。経営や現場から「うちは何から守ればいいのか」と聞かれたときの、答えの土台にしてください。

機密情報は「社外秘」の判子で決まらない

機密情報という言葉に、法律で決まった一つの定義はありません。法律が名前を付けて守っているのは、そのうちの一部です。情シスが日々の仕事で出会うのは、次の4つでしょう。

見落としやすいのは、営業秘密の1つ目の条件です。秘密として管理していない情報は、どれほど大事な設計図でも、法律の上では営業秘密に当たりません。置き場所とアクセス権をそろえ、「社外秘」と分かるようにしておく。これは情シスの仕事そのものです。

個人情報の報告は、件数だけでは決まりません。委員会が挙げる報告の対象は、要配慮個人情報が含まれるとき、不正に使われて財産の被害が出るおそれがあるとき、外からの攻撃のような不正な目的の行為によるとき、本人が1,000人を超えるとき、の4つ。病歴が1人分漏れただけでも、報告の対象になります。

委員会の例は、細かいところまで具体的です。ECサイトからカード番号が漏れたら財産の被害の例に当たりますが、下4桁と有効期限の組み合わせだけなら、ただちには当たらないとしています。送金や決済ができるサービスのIDとパスワードの組み合わせも、同じ例に入っています。

ただ、この4つの法律のどれにも、管理者のパスワードやAPIキーは出てきません。ところが10月の事故を読み返すと、盗まれた認証情報や鍵が入口になった件が、いくつも並びます。法律の範囲だけで守るものの一覧を作ると、いちばん大事な鍵が抜け落ちてしまうのです。

5つの物差しで、50の情報に点を付けた

50の情報は、顧客の個人情報を15、鍵と認証を11、社員と人事、取引と契約を6ずつ、技術、経営、社内の記録を4ずつ選びました。どれも、ふつうの会社が持っているか、委託先に預けているものです。それぞれに、次の5つの物差しで1〜5点を付けています。

まず「影響の範囲」と「元に戻せるか」の2つを置き、3つを足しました。二次被害を入れたのは、10月の事故で、名簿の次に届くのがたいてい偽のメールだったからです。義務は、報告と通知にかかる手間とお金を表します。気づきにくさは、公表されない漏えいほど長く悪用される、という当たり前を点にしたものです。

合計は25点満点で、同点のときは「元に戻せない」、次に「二次被害」、次に「影響の範囲」の高い順に並べました。点はどれも、私たちの見立てです。製造業なら設計図、病院なら病歴の重みが増すように、業種と会社で順位は動きます。

上位10のうち5つが、鍵と認証の情報でした。個人情報は、本人確認書類の画像と顧客名簿の2つだけです。

1位は管理者の認証情報だった

1位は、クラウドやID基盤、仮想化の基盤の管理者が使うIDとパスワード、それにログイン中のセッションの情報です。範囲5、戻せない3、二次被害5、義務4、気づきにくさ5の22点で、ただ一つの22点でした。

パスワードは、その場で変えられます。それでも「戻せない」を3にしたのは、入られたあとに変えても、元の安全な状態には戻らないからです。攻撃者が別の管理者を足したり、裏口を置いたりしていれば、作り直すしかありません。Alpine Linuxは、GitLabが攻撃を受けた疑いがあるとして、サーバーを作り直し、すべてのアカウントのパスワードを初期化しています。

10月の国内の事故にも、例が並びます。日本経済新聞社は、システム開発に使うクラウドの認証情報を盗まれ、約183万件が漏えいしました。コロナは、多要素認証の無いアカウントのIDとパスワードだけで入られています。IDCフロンティアの件では、攻撃者が仮想化の基盤の管理者の権限を取り、495の企業や自治体の仮想サーバーを止めました。

対策は3つに絞れます。管理者のアカウントを人ごとに分けて数を減らす。パスキーのような、フィッシングに強い多要素認証を必須にする。ふだんと違う場所や時間のログインを監視する。どれも、名簿を守る前にやっておきたいことです。

2位から5位は、取り消せないものと鍵

2位は本人確認書類の画像

運転免許証やパスポートの画像は、顔写真と番号がそろっています。どちらも、漏れたからといって変えられません。口座の開設やサービスの登録で、本人になりすますのにそのまま使われます。

パーク24がタイムズカーの件を調べると、暗号化して保管していた免許証などの画像のうち、1,464,800件に外部へ送られた跡がありました。日本原子力研究開発機構の研究支援サイトでも、顔写真付きの身分証の画像200件が漏れています。タイムズカーは画像を10月末までに消すと決めました。確認が済んだ画像を持ち続けないことが、いちばん確かな対策でしょう。

3位は顧客から預かった他社の機密

意外に思うかもしれません。自社の機密より、預かった他社の機密のほうが上でした。漏れても自社だけでは公表も対策も決められず、契約と信用を同時に失うからです。

大阪大学の件では、システムの運用を任されたNECが、大学に知らせていない協力会社と共有するため、ファイルを契約に基づかずにクラウドストレージに置いていました。消すはずのファイルも残っていて、第三者が7万7,851人分をダウンロードしています。預かる側に回ったときは、何をどこに置き、いつ消すのかを、預けた相手に説明できるようにしておきたいところです。

4位は証明書や署名の秘密鍵

サーバー証明書やコード署名の秘密鍵が漏れると、偽のサイトや偽のソフトを本物に見せられます。失効と入れ替えには相手のある手続きが要り、すぐには戻りません。

インドの認証局eMudhraは、中間証明書8件の秘密鍵がだれでも算出できる状態になり、ブラウザの各社に遮断され、SSL/TLSの事業から撤退しました。鍵が1本漏れただけで、会社の事業が一つ終わった例です。社内でも、鍵の一覧と置き場所、取り出せる人を書き出しておくと、入れ替えの日に慌てずに済みます。

5位はAPIキーやアクセストークン

APIキーは、人のログインを通らずに使われます。多要素認証が効かず、どこに置いたかを忘れられやすい鍵です。

ホームページの制作サービスのStudioでは、フォームの回答と一緒にAPIキーなどが流出し、暗号化していた情報も復号の鍵ごと読み出されました。クラウドのZeaburは、有効期限の無い管理用の認証情報を平文で保存していて、環境変数3,218,965件を読まれ、12月末でサービスを終えます。ベネフィット・ワンの件では、決済と連携する認証情報が委託先のシステムにありました。鍵の一覧に有効期限を書き、入れ替えの手順を先に一度試しておくと、いざというときに止めずに替えられます。

6位から10位は、毎日使う場所にある

6位は、社員のメールボックスとチャットの中身です。添付ファイルと本文に、あらゆる情報が混ざっています。乗っ取られれば、取引先をだます足場にもなります。東洋紡せんいでは、乗っ取られた従業員のアカウントから、グループの内外の関係者に約1,500件の不審なメールが送られました。

7位は、製品の設計図と製造の手順。営業秘密の中心です。気づきにくさは5点にしました。10月の当サイトの記録で近いのは、コロナの件で施工関連の資料が漏れた可能性くらいで、設計図そのものの流出を公表した会社はありません。少ないのは起きていないからではなく、気づかれにくく、公表もされにくいからだとみています。

8位で、ようやく顧客名簿です。範囲と義務は5点ですが、名簿は漏れたことに気づきやすく、そこで点を下げました。ショップサーブの最終報では、約2,335万6,000人と7,858店が対象で、店の管理画面のIDとパスワードも含まれていました。名簿の事故が、そのまま1位の鍵の事故にもつながった形です。

9位は、バックアップを開く・戻すための鍵です。暗号化の鍵や、バックアップのサービスに入る認証情報が漏れると、本番と同じ中身を丸ごと持ち出されるうえ、復旧の最後の手段まで消されるおそれがあります。Microsoft 365のバックアップのサービスでは、アプリの認証情報が盗まれ、利用企業のテナントへの不正なサインインが相次ぎました。

10位は、VPNやリモート保守の接続情報です。正規の入口から入られるので、侵入に気づくのが遅れます。両毛システムズは、VPNのアカウントを悪用されてランサムウェアの被害を受けました。保守の業者の分も含めて、つなぎ先と持ち主の一覧があるかを見ておきたいところです。

意外に低かったカード番号と、社員のパスワード

カード番号は20位でした。漏れたら大ごとですし、義務も二次被害も5点です。ただ、カードは再発行で止められます。「戻せない」が2点にとどまり、順位を下げました。逆に言えば、決済のIDとパスワードを含め、変えれば止まる情報は、変えるまでの速さで被害の大きさが決まります。

一般の社員のIDとパスワードは、47位です。1人分なら変えて終わりだからです。ところが、その社員が管理者と同じパスワードを使っていたら、話は1位に化けます。順位は情報の種類で付けましたが、実際の被害は、情報どうしのつながりで決まるのです。

新しく上がってきたのが、15位のAIに読ませる社内の文書でした。規程から顧客の資料まで、検索のために1か所へ集めるので、漏れたときの範囲が広くなります。パナソニックの子会社では、社内で禁止していた外部の生成AIに、約33万4,000人分の個人情報を含むデータが上げられました。置き場所が一つ増えた、と考えて棚卸しに入れておくのがよいでしょう。

地図の右上、広く効いて取り消せない区画に入ったのは7つです。ここに入る情報は、漏れてから打つ手がほとんどありません。持たない、預かりすぎない、持つなら消す日を決める。対策の順番は、そこから始まります。

自社の50を作る、今週と今月の段取り

今週は、上位10だけで十分です。次の3つを、1時間ほどでやってみてください。

1. 上位10の情報が、社内のどのシステムとSaaS、どの委託先にあるかを、1行に1か所ずつ書き出す。
2. 1位の管理者の認証情報と5位のAPIキーについて、持ち主の人数と、多要素認証と有効期限の有無を書き足す。
3. 2位の本人確認書類の画像を、確認が済んだあとも持ち続けていないかを、受付の担当に聞く。

今月は、50の一覧を自社用に直します。

1. 業種に合わせて項目を足し引きし、5つの物差しで点を付け直す。点を付ける場には、法務と、名簿を使う部署にも入ってもらう。
2. 委託先ごとに、預けている情報と、契約が終わったあとに消す取り決めを確認する。吉野家ホールディングスは、採用を委託した先で、契約の終了後も応募者の情報が残っていたことを、不正アクセスで知りました。
3. 漏れたときに委員会へ報告するかを決める表を、4つの場合に沿って法務と作る。

「うちは何から守ればいいのか」という最初の問いには、こう答えたいと思います。名簿を守るために、先に鍵を守る。この順番を逆にしないことです。

同じ時期に、相次ぐ漏えいの中で情シスの役割を考え直した特集と、「ローカルやIP遮断で十分か」を過去の事例で確かめた特集も出しました。順番の次に考えたい、役割と対策の十分さの話です。

11位から50位までの一覧

合計のかっこの中は、範囲、戻せない、二次被害、義務、気づきにくさの順の点です。

※1　営業秘密の定義と、差し止めの請求・損害の賠償は、不正競争防止法の第2条第6項、第3条、第4条にあります。個人情報、個人データ、要配慮個人情報の定義は個人情報保護法の第2条と第16条、報告と本人への通知は第26条、特定個人情報はマイナンバー法の第2条第9項と第29条の4、カード番号の管理の義務は割賦販売法の第35条の16です。点は2026年10月30日に、情シスのミカタ編集部が付けました（当社調べ）。