デンマークで880万人分の個人番号が流出、入り口は社員2人の会社

10月5日、デンマークの省が、国の中央個人登録（CPR）から約880万人分の氏名、住所、CPR番号が抜き取られたと発表した。国のシステムが破られたのではない。CPRを照会できる正規の権利を持つ、社員2人の民間企業のアクセスが悪用された。その会社では、管理者のものを含む3つのアカウントのパスワードが「123456」だった。

日本に置き換えれば、役所のデータを引ける会社の鍵が「123456」だったようなものだ。

国のシステムは破られていない

会社は、オーデンセにあるPays ApSだ。顧客の名簿を住民登録のデータと突き合わせ、住所や死亡を反映させるCPRウォッシュを請け負っている。代表はテレビ局TV 2に、自社の正規のアクセスが悪用されたと認めた。

現地の報道では、「123456」のアカウントは少なくとも3つ、うち1つは管理者用だった。攻撃者は、デンマークの小さな会社の元従業員から漏れたパスワードで入ったと話している。当局はこの説明を確かめていない。それが本当なら、辞めた人のアカウントが生きたまま残っていたことになる、とセキュリティ会社は書いている。

気づいたのは、高すぎる請求書

なぜ、だれも気づかなかったのか。照会の1件1件は、その会社に許された範囲だった。だから監視に引っかからない。攻撃者は1400万回を超える照会を流し、約880万人分のデータを引き出した。TV 2によると、照会が続いたのは9月11日から20日までの10日ほど。アクセスができる状態は、合わせて21日17時間あったとも報じられている。

抜き取りが止まったあとも、12日間気づかれなかった。見つけたのは、セキュリティの仕組みではない。CPRの事務局が、この会社への請求額が異常に高いと気づいたのだ。

デンマークの人口は約600万人だ。880万のほうが多いのはなぜか。CPRには、亡くなった人や国外に出た人の記録も残っている。登録全体は約1100万件で、今回はその8割ほどだ。

危なくないのか、とも思う。氏名と住所に番号がそろえば、本人を装う口実を作れる、とセキュリティ会社は説明する。警察とデータ保護の当局が調べていて、起訴された人はまだいない。デンマークの社会・住宅庁は10月9日、市民が案件を問い合わせるときの本人確認を厳しくした。

日本では、だれが委託先を見ているのか

日本でも、マイナンバーを扱う仕事が役所から民間の会社に委託されることがある。番号法では、委託先が別の会社へ出し直すには委託元の許諾が要る（10条）。委託元には、委託先への「必要かつ適切な監督」の義務もある（11条）。

紙の上では、ちゃんとしている。ただ、個人情報保護委員会は2019年2月20日、行政機関などのデータ入力の委託で、許諾を得ない再委託という番号法違反の事案が確かめられたと注意喚起を出している。

デンマークの省は事件のあと、CPRを照会できる1039社に書簡を送り、責任者を置いて従業員のアクセスを点検し続けるよう求めた。契約や報告には出てこない、社員のアカウントの話だ。渡した権限の強さと、預かる側の守りがつり合っていなかったように見える。

ネットの評判

はてなブックマークでは、このニュースのページに19件のコメントが付いた（10月11日時点、70ブックマーク）。「国家レベルで抜かれたらもう一般企業が対策する意味がなくなってくる…？」という諦めの声がある。日本のマイナンバーも同じではないか、という心配も出ている。

行政が渡した鍵の先にあったのは、社員2人の会社と、「123456」という6文字だった。