NTT内部不正：928万件、特権アカウント1つ、10年間の見落とし

日本のサイバーセキュリティ法規制ガイドシリーズの一部です。規制の全体像は日本のサイバーセキュリティ法令・ガイドラインをご覧ください。

外資系チームが日本のセキュリティ事案として耳にするほとんどの話は、外部の攻撃者によるものです。この事案は違いました。NTTグループの子会社で、特権アカウントを持つ信頼された一人の内部者が、69社の顧客情報928万件を約10年間にわたってひっそりと持ち出し続けました——しかも発覚させたのは会社の統制ではなく、警察でした。

私はCISSP・CCCPに加え、情報処理安全確保支援士を保有する情報セキュリティの実務家です。この事案を繰り返し引き合いに出す理由がある——それは、止めるべきだったコントロールのことごとくが、外資系チームなら「当然あるはずだ」と思い込んでいるものだからです。

何が起きたのか

被害を受けた組織はNTTビジネスソリューションズ——NTT西日本グループの子会社で、流出したデータはNTTマーケティングアクトProCXのコールセンター業務に関係するものでした。顧客データシステムの運用・保守に従事していた元派遣社員が、システム管理者アカウント——特権IDを悪用し、顧客情報を格納したサーバーにアクセスしました（NTTビジネスソリューションズ；日経xTECH）。

手口はいたって平凡です——それこそが問題の核心なのですが：

• 元従業員は保守端末にサーバーから顧客データファイルをダウンロードし、個人のUSBメモリを使って持ち出した。
• 持ち出しは2013年7月頃から2023年1月頃まで続いた。当該人物は2008年6月から現場に入っていた。
• 氏名・住所・電話番号などのデータは名簿業者に渡り、不正競争防止法違反として警察の捜査を招いた。
• 最初の開示（2023年10月）では約900万件とされていたが、その後の調査で69社・928万件に修正された。
• 2022年4月に取引先から漏洩の可能性が指摘されていたが、当時は特定できなかった。2023年7月に始まった警察の捜査によって浮上した（日本経済新聞）。

個人情報保護委員会（PPC）はその後、勧告を行いました——PPCが正式に勧告を行うことは日常的ではなく、異例の措置です。

なぜ10年間検知されなかったのか

ここで外資系セキュリティリーダーにはじっくり読んでほしいのですが、この失敗は特殊なものではありません。特権を持つ内部者を信頼し、その信頼を計測しなかったことの予測可能な帰結でした。

特権アカウントがすべてを決定づけた。 システム管理者IDは設計上、そのデータに触れることを許可されています。だからこそ、そのアクセスは「不正アクセス」としてアラートを生みませんでした——管理対象のデータベースにアクセスするシステム管理者の行為には、何ら不正なところがなかったからです。これが、外部者を止めるために構築されたコントロールの盲点です。内部者がその役割上許容されることをまさにやっている場合——動機が違うだけで——何も言えないのです。

どのセキュリティフレームワークでも見覚えのある三つのコントロール目標が、実質的に機能していませんでした：

• 最小権限の原則。 保守の役割に、10年分の顧客情報への広範な恒常的読み取りアクセスは必要ありませんでした。「運用には管理者権限が必要だ」という発想のもとで、最小権限の原則は静かに死んでいきます。
• 計測。 保守端末への大量ダウンロードとリムーバブルメディアへの持ち出しが10年間続いても、誰も対処しないシグナルが生まれました。特権アカウントのデータ移動を見えるようにしなければ管理できません——「保守は問題ないと思っていた」は管理ではありません。
• 耐故障設計。 このモデルは内部者が信頼を悪用しないことに依存していました。人間の行動によって失敗しうるものは、いつか必ず失敗します。信頼された人物がすでに不正を働いていることを前提に設計された層が存在しませんでした。

2022年に取引先から寄せられた指摘の詳細は、ずっと頭に引っかかっています。シグナルはあったのです。組織は特権アカウントが実際に何をしているかのテレメトリを持っていなかったため、その活動と結びつけることができませんでした。

外資系チームが見落としがちな、日本特有の構造

これが日本固有の形をした教訓である理由は、多層的な委託構造にあります。行為者は、別のグループ会社のクライアントのデータを管理する子会社（NTTビジネスソリューションズ）の内部で働く派遣社員（派遣）でした。個人データ、業務システム、従業員の雇用主、そしてデータの法的な所有者が、それぞれ異なる箱の中に入っていたのです。

この多層的な人員構造——元請け、子会社、派遣会社、クライアント——は日本企業のITにおいて極めて一般的であり、特権アクセスに対する責任の所在を曖昧にします。地方子会社や人材派遣会社を通じて日本で業務を展開している外資系企業は、この構造をそのまま引き継ぐことになります——しばしば「ベンダーの派遣エンジニアが、顧客データを保持するシステムの管理者権限を持っている」という状況が、CISOを凍りつかせるはずの一文だということに気づかないまま。

また、この事案はAPPIの漏洩通知義務とも交差します。このような性質・規模・不正目的を持つ漏洩は、PPCへの報告義務を明確に引き起こします。

日本で事業を展開するセキュリティチームへの設計上の教訓

批判のためのチェックリストではなく、実務家としての要点です：

• 特権アカウントを「信頼できる例外」ではなく「主要リスク」として扱う。 本番の個人データを参照できる恒常的な管理者・保守IDをすべてリストアップする。派遣・外注スタッフが保有するものも含めて。
• 運用ロールに最小権限を徹底する。 恒常的な管理者権限より、ジャストインタイムな時間限定の昇格が優れています。保守に永続的な一括読み取りアクセスが必要なことはほぼありません。
• 特権アカウントのデータ移動を計測する。 管理者アカウントによる大量読み取り、エクスポート、リムーバブルメディアへの書き込みは、誰かが所有し確認するシグナルを生み出さなければなりません。計測こそがコントロールです。
• 保守端末のリムーバブルメディアを管理する。 USBを使った持ち出しは、誰かが対策を講じると決めた場所では解決済みの問題です。
• 日本の委託チェーンを把握する。 どの外部・派遣人員が規制対象データへの特権アクセスを持っているか、そして彼らが悪用した場合に誰が責任を負うかを把握する。
• 信頼された内部者がすでに不正を働いていると仮定し、それを検知する層を設計する。

まとめ

これは高度な攻撃ではありませんでした。恒常的な特権、計測の欠如、そして10年にわたる誤った信頼——警察によって発覚し、統制によってではなく。子会社や派遣スタッフを通じて日本で事業を展開しているすべての組織に突きつけられる問いはシンプルです：今この瞬間、あなたの特権アカウントが——委託先のものも含めて——何をしているか把握できていますか？ 答えが「問題ないと思っている」であれば、NTTと同じリスクにさらされています。

このような漏洩が引き起こす規制上の義務については、ピラーガイドとAPPIガイドをご覧ください。

参考資料

• 元派遣社員による不正な情報持ち出しについてのお知らせ（お詫び）（NTTビジネスソリューションズ、2026年6月11日確認）
• 続報（NTTビジネスソリューションズ、2026年6月11日確認）
• NTT西日本の子会社、元派遣社員による900万件情報持ち出しを防げず（日経xTECH、2026年6月11日確認）
• NTT西日本子会社の元社員が名簿業者にも900万人の個人情報を流出（日本経済新聞、2026年6月11日確認）