冷凍食品最大手のニチレイで、7月13日に発覚した不正アクセスをめぐり、従業員の個人情報が漏洩した恐れがあることが8月14日、正式にわかりました。氏名や生年月日、会社のメールアドレス、従業員番号、人事・労務に関する情報が対象です。ハッカー集団「RansomHouse」を名乗る勢力が、盗んだと主張するデータをすでにネット上で公開しています。
これは、サイバーセキュリティの世界で「二重恐喝」と呼ばれる、典型的な攻撃の型です。システムを暗号化して身代金を求めるだけでなく、データを事前に盗み出しておき、「払わなければ公開する」という二段構えの圧力をかけます。ニチレイは攻撃主体や手口を公式には確認していませんが、実際にデータが公開された以上、身代金を支払っても支払わなくても、いったん流出した情報は取り戻せません。
漏れた情報の中身、氏名・生年月日・メールアドレスは、単体では大した価値がないように見えるかもしれません。しかし個人データは、他の漏洩情報と組み合わされることで、なりすましや標的型の詐欺に悪用されるリスクが高まります。一つの企業が受けた攻撃が、取引先や消費者にまで影響を及ぼしうるのは、こうした情報がつながっているからです。
「またどこかで情報漏洩」というニュースに慣れてしまいがちですが、攻撃の型(二重恐喝)と、漏れた情報の使われ方を分けて読むと、自分に関係のある被害かどうかを、より具体的に判断できるようになります。