日本交通の不正アクセスで約29万人分の個人情報が漏えいした可能性と確認事項

ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、日本交通は7月11日に発生したシステムへの不正アクセスについて調査を進めた結果、約29万人分の個人情報が外部へ漏えいした可能性があると発表しました。対象にはハイヤーの利用客だけでなく、過去を含む採用応募者や従業員、事故対応の相手方などが含まれ、健康診断結果や一部のマイナンバーも対象となっています。対象者向けには順次連絡が進められており、関係者を装った不審な連絡への警戒が呼びかけられています。

ビジネス＋IT（Yahoo!ニュース）：日本交通、29万人分の個人情報が漏えいか　マイナンバーも…最多は客ではなく応募者

従業員や顧客の重要情報が流出した疑いがある場合、ダークウェブや外部への情報拡散を早期に把握することが二次被害の抑止につながります。

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響を受けた可能性がある人・情報

（個人）日本交通の採用選考応募者（過去の応募者を含む約10万7,900人）、乗務員が関わった事故等の相手方（約7万2,000人）、乗務員・職員（退職者を含む約6万100人）、従業員の家族（約3万7,700人）、ハイヤー利用客（約1万3,100人）
（企業）日本交通の取引先担当者（約2,100人）
（個人）氏名、住所、人事情報、給与等の支払い情報、健康診断結果、運転免許証、在留カード、顔写真、銀行口座、一部のマイナンバー（税・社会保障手続情報、扶養・控除手続情報）などの対象データ

今すぐ取るべき対応

（個人）日本交通から書面または電子メールで届く個別通知を確認し、心当たりのある対象区分と含まれる可能性のある情報を把握する
（個人）日本交通や官公庁などを名乗る不審な電話・メール・郵便物に警戒し、マイナンバーや銀行口座の暗証番号などを求められても回答しない
（企業）外部接続方式の見直しや重要アカウントへの多要素認証（MFA）適用、不要になった過去の応募者情報などの保管期間ルール策定と削除徹底を実施する

この記事に出てくる専門用語

多要素認証（MFA）：パスワードだけでなく、スマートフォンへの通知やワンタイムコードなど複数の要素を組み合わせて本人確認を行う仕組みです。今回の事案では、再発防止策として重要アカウントや外部接続への適用が進められています。
マイナンバー：社会保障、税、災害対策の分野で個人を特定するために日本国内の全住民へ付与される識別番号です。本件では、従業員やその家族の税・社会保障手続情報の一部に含まれていたことが判明しています。

日本交通における不正アクセスの発覚と被害範囲が確定するまでの経緯

ビジネス＋ITの報道によると、日本交通は7月11日に発生したシステムへの不正アクセスについて、外部の専門機関による調査結果をまとめた「弊社システムへの不正アクセスに関するお知らせ（第6報）」を10月30日に公表しました。インシデントの発生から約3か月半にわたる詳細な調査を経て、流出の恐れがある対象者の区分と具体的な人数が特定された形です。

発表された調査結果によると、個人情報が漏えいした可能性のある対象者は全体で約29万人に上ります。同社はすでに個人情報保護委員会や警察などの関係機関への報告を済ませており、該当する個人に向けて書面や電子メールによる個別通知を順次開始しています。

私たち診断側の視点では、不正アクセスを受けてから被害の全容を把握するまでに数か月を要するのは決して珍しいことではありません。ログの保全と機器のフォレンジック調査を慎重に進めた結果として、影響範囲が正確に絞り込まれたと評価できます。

漏えいした可能性がある個人情報の内容と約29万人の詳細な内訳

ビジネス＋ITの報道によると、今回の事案で最も人数が多い区分はタクシーの利用客ではなく、過去の応募者を含む採用選考の応募者で、約10万7,900人に上ります。これに次いで、乗務員が関わった事故等の相手方が約7万2,000人、退職者を含む乗務員・職員が約6万100人、従業員の家族が約3万7,700人となっています。

さらに、ハイヤーの利用客が約1万3,100人、取引先の担当者が約2,100人含まれています。一方で、一般的なタクシー利用客の配車や乗車に関するデータは今回の漏えい対象に含まれておらず、同社はクレジットカード情報そのものを社内に保有していないことも公表されています。

採用選考の応募者（過去を含む）：学歴、職歴、運転免許証、顔写真、銀行口座情報など
乗務員・職員（退職者含む）：氏名、住所、人事情報、給与支払い情報、健康診断結果、運転免許証、在留カード、顔写真、銀行口座、マイナンバー（税・社会保障手続情報の一部）
従業員の家族：扶養や控除の手続に関する情報（一部にマイナンバーを含む）
事故等の相手方：氏名、住所、生年月日、保険手続の情報、けがの状況など

同社はすべての人にすべての項目が該当するわけではないと説明していますが、マイナンバーや健康診断結果、身分証明書の画像といった機微な情報が含まれている点は見過ごせません。過去の応募者や退職者のデータが長期にわたり社内環境に残存していたことが、被害規模を広げる要因になったと推察されます。

日本交通が実施した一次対応と再発防止策の内容

ビジネス＋ITの報道によると、日本交通は不正アクセスの発覚後、侵害を受けた侵入経路の遮断と感染した機器の停止・隔離を一次対応として実施しました。あわせて、重要アカウントに対する多要素認証（MFA）の適用や監視の仕組みの導入を行い、侵害拡大の抑止を図っています。

さらに同社は、社内における個人情報の保管期間に関する明確なルールを策定し、不要となったデータの削除を実施したとしています。今後の恒久的な対策としては、ハイヤーWEB予約システムの再構築、外部から社内システムへの接続方式の刷新、認証のさらなる強化、業務委託先におけるセキュリティ対策の確認と強化を掲げています。

私たちホワイトハッカーの視点では、単に侵入機器を隔離するだけでなく、外部接続方式の見直しや業務委託先の管理まで再発防止策に含めている点は適切な判断といえます。境界防御だけでなく、認証の多要素化とデータのライフサイクル管理を徹底することが、同種のインシデントを防ぐ土台となります。

日本交通からの連絡を受けた対象者が取るべき具体的な確認手順

ビジネス＋ITの報道によると、現時点で公表された個人情報の悪用による二次被害は確認されていません。しかし、氏名や連絡先、身分証明書の情報が漏えいした可能性がある以上、日本交通や警察、官公庁を装った不審な電話やメール、郵便物が届く危険性があります。

過去に日本交通の採用選考へ応募した方やハイヤーを利用された方、従業員とその家族は、同社から届く個別の案内を必ず確認してください。通知書面やメールの内容をもとに、ご自身のどの情報が対象に含まれていたかを把握することが初動の基本となります。

万が一、同社や公的機関を名乗り「情報漏えいの補償手続」などを名目に口座の暗証番号やマイナンバーの再提出を求めてくる連絡があった場合は、その場ですぐに応じるのを避けます。公式に案内されている問い合わせ窓口を自身で確認し、折り返し連絡を行って真偽を確かめる自衛行動が身を守る鍵となります。

参考文献・記事一覧

ビジネス＋IT（Yahoo!ニュース）「日本交通、29万人分の個人情報が漏えいか　マイナンバーも…最多は客ではなく応募者」

社内システムの侵害によって漏えいした個人情報や認証情報が悪用されていないか、外部の流通状況を把握したい場合はこちらの調査が役立ちます。

投稿者プロフィール

Cyber News: サイバーセキュリティニュースボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。