事例・2023年
NTTビジネスソリューションズ 元派遣社員による顧客情報不正流出
NTTビジネスソリューションズ 元派遣社員による顧客情報不正流出（英語名 NTT Business Solutions insider customer data leak）は、通信（コールセンター業務の運用受託）で起きた事例です。侵入口、決定的な失敗、被害の順に、公表資料の記載だけで図にしました。
- 内部
- 権限
- 委託
要点
- 侵入口 NTTビジネスソリューションズ（BS社）に派遣されていたコールセンターシステムの運用保守業務従事者（元派遣社員）が、システム管理者アカウントを悪用し、業務端末等からNTTマーケティングアクトProCX（ProCX社）の顧客データが保管されているサーバへアクセスした
- 決定的な失敗 総務省によれば、NTT西日本はProCX社によるBS社のコールセンタシステム利用が個人データの取扱いの委託に該当することを認識できておらず、業務委託契約上の業務委託には含まれないとして運用し、委託先の監督措置の対象としていなかった。
- 被害 NTT西日本の2024年2月29日付資料によれば、資料上のお客さま数928万件（クライアント数69）の顧客情報が約10年にわたり不正に持ち出され、第三者へ流出した。
不正の道筋
入口から、決定的な失敗を経て、被害に至るまで。図の番号は下の説明と対応します。図の文言は事例の記録からの引用です。
- 1発端元派遣社員
NTTビジネスソリューションズ（BS社）に派遣されていたコールセンターシステムの運用保守業務従事者（元派遣社員）が、システム管理者アカウントを悪用し、業務端末等からNTTマーケティングアクトProCX（ProCX社）の顧客データが保管されているサーバへアクセスした。
- 2決定的な失敗委託先の監督
総務省によれば、NTT西日本はProCX社によるBS社のコールセンタシステム利用が個人データの取扱いの委託に該当することを認識できておらず、業務委託契約上の業務委託には含まれないとして運用し、委託先の監督措置の対象としていなかった。
- 3決定的な失敗顧客データ
期間は、総務省によればNTT西日本の顧客データについて2014年から約8年、NTT西日本グループの2024年2月29日付資料によればProCXの複数のクライアント全体で2013年7月から2023年2月頃まで、約10年続いた。
- 4被害顧客情報
NTT西日本の2024年2月29日付資料によれば、資料上のお客さま数928万件（クライアント数69）の顧客情報が約10年にわたり不正に持ち出され、第三者へ流出した。
- 1発端元派遣社員
NTTビジネスソリューションズ（BS社）に派遣されていたコールセンターシステムの運用保守業務従事者（元派遣社員）が、システム管理者アカウントを悪用し、業務端末等からNTTマーケティングアクトProCX（ProCX社）の顧客データが保管されているサーバへアクセスした。
- 2決定的な失敗委託先の監督
総務省によれば、NTT西日本はProCX社によるBS社のコールセンタシステム利用が個人データの取扱いの委託に該当することを認識できておらず、業務委託契約上の業務委託には含まれないとして運用し、委託先の監督措置の対象としていなかった。
- 3決定的な失敗顧客データ
期間は、総務省によればNTT西日本の顧客データについて2014年から約8年、NTT西日本グループの2024年2月29日付資料によればProCXの複数のクライアント全体で2013年7月から2023年2月頃まで、約10年続いた。
- 4被害顧客情報
NTT西日本の2024年2月29日付資料によれば、資料上のお客さま数928万件（クライアント数69）の顧客情報が約10年にわたり不正に持ち出され、第三者へ流出した。
被害
NTT西日本の2024年2月29日付資料によれば、資料上のお客さま数928万件（クライアント数69）の顧客情報が約10年にわたり不正に持ち出され、第三者へ流出した。NTT西日本自身の顧客情報は、2023年10月17日公表時点で約120万件（氏名、住所、電話番号、生年月日の一部等。クレジットカード情報・金融機関口座情報・各種パスワードは含まれない）とされた
決定的な失敗
- 1総務省によれば、NTT西日本はProCX社によるBS社のコールセンタシステム利用が個人データの取扱いの委託に該当することを認識できておらず、業務委託契約上の業務委託には含まれないとして運用し、委託先の監督措置の対象としていなかった。
- 2この監督不十分な状態の下で、元派遣社員がシステム管理者アカウントで顧客データを持ち出す状態が続いた。
- 3期間は、総務省によればNTT西日本の顧客データについて2014年から約8年、NTT西日本グループの2024年2月29日付資料によればProCXの複数のクライアント全体で2013年7月から2023年2月頃まで、約10年続いた。
経過
2023年7月13日から231日間の記録。軸は日数の平方根で縮めています。
- 2023.07.130日目
元派遣社員の勤務先（BS拠点）に対し、警察が捜査を実施（NTT西日本グループの2024年2月29日付資料）
- 2023.10.1796日目
NTT西日本が「お客さま情報の不正流出に関するお詫びとお知らせ」を公表（対象約120万件、2014年4月から2022年3月のテレマーケティング業務に関連）
- 2024.01.31202日目
元派遣社員が逮捕された（ScanNetSecurityは岡山県警が1月31日付で逮捕と報道。2024年2月29日付資料は2月21日に起訴と記載）
- 2024.02.09211日目
総務省が、委託先の監督の見直し及び対策の強化等について、文書によりNTT西日本を行政指導
- 2024.02.29231日目
NTT西日本・ProCX・BSが情報セキュリティ強化の取組みの資料を公表し、ProCXのクライアント69、お客さま数928万件の情報が約10年にわたり不正に持ち出されていたと説明
防げた手立て
番号は不正の道筋の図と対応します。
-
業務委託先が利用するシステムが個人データ取扱いの委託に該当するかの正確な判定と、委託先監督の対象への組み入れ
効く場所 2 -
システム管理者アカウントなど強い権限を持つ個人への長期間・単独でのアクセス権付与を避ける権限管理
効く場所 1 -
保守用アカウントによる大量データへのアクセスの定期的な監査・異常検知の仕組み
効く場所 3
関係するページ
手口、グループ、事例のつながりは、収録データの記録だけから引いています。
関係する手口
関係するグループ
収録データにはまだ出ていない
出典
- お客さま情報の不正流出に関するお詫びとお知らせ NTT西日本株式会社・2023-10-17
- 当社に対する総務省からの指導について NTT西日本株式会社・2024-02-09
- 西日本電信電話株式会社に対する行政指導 総務省・2024-02-09
- お客さま情報の不正持ち出しを踏まえたNTT西日本グループの情報セキュリティ強化に向けた取組みについて NTT西日本株式会社・NTTマーケティングアクトProCX・NTTビジネスソリューションズ・2024-02-29
- NTTマーケティングアクトProCX 元派遣社員による不正持ち出し、岡山県警が1月31日付で逮捕 ScanNetSecurity・2024-02-21
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）