デンマークの名門コペンハーゲン大学で大規模な情報流出が起きた可能性が明らかになりました。同大は10月27日、約52万5000人分の個人情報が流出した恐れがあると発表し、一部の基幹システムを停止して対応にあたっています。流出した情報には、デンマークの国民識別番号も含まれるとみられます。
テスト環境から侵入
コペンハーゲン大学によると、不正アクセスは10月20日に検知されました。攻撃者は同大のテスト環境（開発や検証用のシステム）の一つに侵入したとされ、日々の業務を支える本番システムには到達していないと説明しています。流出した恐れがあるのは、氏名、国民識別番号（CPR番号）、勤務先・自宅の電話番号、個人のメールアドレスなどです。別途、職員や学生約2万人分のIDカードの暗証番号（PIN）も影響を受けました。
対応に追われる大学側
同大は10月23日に情報流出を公表し、キャンパスへの物理的な立ち入りを一時制限しました。IDカードの暗証番号はすべて再発行されています。さらに26日には、文書管理システム「Workzone」などの管理系システムを「予防的かつ管理された停止」として一時的に遮断しました。当初は新たな攻撃とみられていましたが、27日になって当初の侵入と関連した動きだと説明を修正しています。
GDPRに基づき当局へ報告
コペンハーゲン大学は、欧州連合（EU）の一般データ保護規則（GDPR）に基づき、デンマークのデータ保護当局に今回の事案を報告しました。被害の正確な範囲は現在も調査中で、一部のシステムでは障害が続いています。攻撃者の身元や侵入の手口は明らかにされていません。
日本への影響
今回の事案は、海を越えた日本の組織にとっても人ごとではありません。流出した恐れのある国民識別番号（CPR番号）は、日本のマイナンバー（個人番号）に相当するもので、税や社会保障と結びついた重要な情報です。日本でもマイナンバーの利用範囲が広がるなか、大学や自治体、企業が扱う個人情報の管理体制が改めて問われます。とりわけ注目すべきは、侵入の起点がテスト環境だった点です。本番環境ほど厳重に守られていない開発・検証用システムが攻撃の入り口になる事例は後を絶たず、日本の大学や研究機関、企業でも同じ弱点を抱えている可能性があります。個人情報保護委員会への報告義務や漏えい時の本人通知など、日本の個人情報保護法への対応も含め、組織はテスト環境まで視野に入れた情報管理の総点検が求められます。自分のメールアドレスや電話番号が流出した場合には、不審なメールや電話への警戒を怠らないことが大切です。
まとめ：攻撃の入り口は、守りの手薄なテスト環境でした。マイナンバー時代を迎えた日本にとっても、重い教訓を含む事案だといえます。
Photo: Aleksandar Savic / Unsplash
