ジェイティービー（ＪＴＢ）子会社であるｉ.ＪＴＢのサーバーに外部からの不正アクセスがあり、約７９３万人分の個人情報が流出した可能性があることが分かった。ネット販売を手掛ける通販企業にとっても無関係な事件ではないだけに、最悪の事態を想定した上で万全のセキュリティー対策を講じる必要がある。

　ＪＴＢの発表によれば、今年３月１５日に、取引先を装ったメールの添付ファイルをオペレーターが開いたことで、ｉ.ＪＴＢのパソコンがウイルスに感染。その後、内部から外部への不審な通信が複数確認されたため調査したところ、サーバー内に、外部からの不正侵入者が作成・削除したデータファイルがあることを確認した。外部の専門会社と共同でウイルスを駆除、データファイルを復元し分析したところ、データファイルには約７９３万人分の個人情報が含まれていたことが分かった。

　今回の事件で使われた手口は標的型メール攻撃と呼ばれるもので、日本年金機構の加入者情報流出事件でも同様の手口が使われていた。どちらもメールに添付されたファイルを開いたことで、ウイルスに感染した。報道によれば、今回のケースでは取り引きのある航空会社系列の販売会社からの業務連絡を装ったメールだったという。また、ｉ.ＪＴＢではこうした攻撃に備えた訓練を行っていたものの、ウイルス感染を防ぐことはできなかった。

　ネット販売企業は、今回の事件を他山の石としなければならない。ファイルを開いたことがウイルス感染の直接の原因となったのは言うまでもない。なりすましメールを見抜くことは非常に重要だ。送信元のメールアドレスは簡単に偽装できるため、不審なメールが来た場合、それがヘッダー（メールの通信経路などの情報）と一致しているかを確認しなければならない。今回の事件では、こうした理解が社内にあったかどうかが問題になる。

　ネット販売企業でいえば、サポート用メールアドレスに対し、消費者を装いウイルスを添付したメールを送りつけるといったケースは十分考えられる。そのため、なりすましメールへの対策を早急に練る必要がある。場合によっては、なりすましメールを自動的に弾くためのフィルタリングシステムの導入も必要だろう。

　ただ、人為的なミスは起こりうるだけに、ウイルスに感染してしまった場合の対策も重要だ。報道によると、今回の事件では、３月１９日にはセキュリティー会社から不正アクセスに関する指摘があったにも関わらず、外部との通信遮断作業が完了したのは２５日であり、その間に外部からの不正侵入者が個人情報を含むデータファイルを作成していた。そのため「対応が遅かったのではないか」との声も出ている。

　ネット販売企業は、不正アクセスを受けた際に、どのような対処をすべきか、きちんとマニュアル化する必要があろう。対応の遅れが最悪の事態を招き、ブランド失墜につながる恐れがあるからだ。「狙われるのはＪＴＢのような大手だけ」という甘い考えは捨て、「どんな企業でも情報流出の危険はある」という認識のもと、対策を講じるべきだ。