ー事故を防ぐためにー

ケースで学ぶ
個人情報漏えい防止

ー事故を防ぐためにー

ケースで学ぶ
個人情報漏えい防止
目 次
……… 4

第１章

後を絶たない情報漏えい事故

第２章

情報漏えいがなぜ起こるのか？ ………7

第３章

情報漏えいの代償 …………………10

第４章

情報漏えいの防止に向けて …… … 13

第１章

後を絶たない情報漏えい事故
個人情報保護法の制定・施行、金融商品取引法上の内部統制報告制度により、金融機関の情報セキュリティが高まりつつも、金融機関における情報漏えい事故が後を絶ちません。
情報漏えいが起きた金融機関では、新聞・テレビニュース等により事故が報道されているほか、自社のホームページにてその調査結果を報告・公表しているところもあります。
それらの内容から「金融機関における情報漏えい事故の実際」を紹介します。
これらの事例から、一人の行職員の情報漏えいが、同僚や上司などの役職員、預金・融資等の取引をいただいているお客さま、株主、家族や親戚ほか多くの関係者に多大な迷惑を及ぼすことを、日頃から肝に銘じておかなければなりません。
（ケース１）
Ａ金融機関では、約 600 名のお客さま宛に郵送した「カードローン取引照合表」に、業務委託先の手違いにより他のお客さま宛の照合表を混入させ、誤って郵送していたことが判明した。
誤封入により混入した照合表には、お客さまの氏名、住所、カードローン口座番号、カードローン取引履歴等が記載されていた。Ａ金融機関では、誤郵送した約 600 名のお客さまを営業店担当者が個別に訪問し、謝罪と事情説明のうえ、他のお客さま宛の照合表を回収することとなった。
（ケース２）
Ｂ金融機関で、約 130 名分の個人情報（氏名、電話番号等）が記載されている手帳を紛失したことが判明した。

4

支店の従業員が営業活動中に手帳を紛失したことから情報が漏えいした。
（ケース３）
Ｃ金融機関では、取引先のお客さまの口座振替情報等が記録されているフロッピーディスク等を誤って別の取引先に渡していたことが判明した。
このフロッピーディスク等には、個人・法人を含む約 350件のお客さまの「口座振替にかかる口座の店番・科目・口座番号・口座氏名・金額・引落結果」等が記録されていた。
（ケース４）
Ｄ金融機関では、運送業者に搬送を委託していた集配袋中の県税・市税の納入通知書を紛失した。
運送業者がＤ金融機関のグループ会社の物流センターに届けた際に、受渡手続きを規定通り行っていなかったことが原因とされている。
（ケース５）
Ｅ金融機関では、職員が、約 500 人分のお客さまの個人情報（氏名、住所、電話番号、取引状況など）の記載された資料を、営業に利用する目的で社外に携行している途中で紛失した。
（ケース６）
Ｆ金融機関では、職員が酒に酔って帰宅中にカバンを紛失し、約 400 件のお客さまの個人情報（氏名、住所、電話番号、預金残高など）を記録した資料のコピーを流出した。
なお、漏えいした資料の社外持出は禁止されていた。
（ケース７）
Ｇ金融機関では、お客さまの個人情報約２万名分が、データ処理を委託した関連会社から漏えいし、個人情報を入力し5

第１章

後を絶たない情報漏えい事故
個人情報保護法の制定・施行、金融商品取引法上の内部統制報告制度により、金融機関の情報セキュリティが高まりつつも、金融機関における情報漏えい事故が後を絶ちません。
情報漏えいが起きた金融機関では、新聞・テレビニュース等により事故が報道されているほか、自社のホームページにてその調査結果を報告・公表しているところもあります。
それらの内容から「金融機関における情報漏えい事故の実際」を紹介します。
これらの事例から、一人の行職員の情報漏えいが、同僚や上司などの役職員、預金・融資等の取引をいただいているお客さま、株主、家族や親戚ほか多くの関係者に多大な迷惑を及ぼすことを、日頃から肝に銘じておかなければなりません。
（ケース１）
Ａ金融機関では、約 600 名のお客さま宛に郵送した「カードローン取引照合表」に、業務委託先の手違いにより他のお客さま宛の照合表を混入させ、誤って郵送していたことが判明した。
誤封入により混入した照合表には、お客さまの氏名、住所、カードローン口座番号、カードローン取引履歴等が記載されていた。Ａ金融機関では、誤郵送した約 600 名のお客さまを営業店担当者が個別に訪問し、謝罪と事情説明のうえ、他のお客さま宛の照合表を回収することとなった。
（ケース２）
Ｂ金融機関で、約 130 名分の個人情報（氏名、電話番号等）が記載されている手帳を紛失したことが判明した。

4

支店の従業員が営業活動中に手帳を紛失したことから情報が漏えいした。
（ケース３）
Ｃ金融機関では、取引先のお客さまの口座振替情報等が記録されているフロッピーディスク等を誤って別の取引先に渡していたことが判明した。
このフロッピーディスク等には、個人・法人を含む約 350件のお客さまの「口座振替にかかる口座の店番・科目・口座番号・口座氏名・金額・引落結果」等が記録されていた。
（ケース４）
Ｄ金融機関では、運送業者に搬送を委託していた集配袋中の県税・市税の納入通知書を紛失した。
運送業者がＤ金融機関のグループ会社の物流センターに届けた際に、受渡手続きを規定通り行っていなかったことが原因とされている。
（ケース５）
Ｅ金融機関では、職員が、約 500 人分のお客さまの個人情報（氏名、住所、電話番号、取引状況など）の記載された資料を、営業に利用する目的で社外に携行している途中で紛失した。
（ケース６）
Ｆ金融機関では、職員が酒に酔って帰宅中にカバンを紛失し、約 400 件のお客さまの個人情報（氏名、住所、電話番号、預金残高など）を記録した資料のコピーを流出した。
なお、漏えいした資料の社外持出は禁止されていた。
（ケース７）
Ｇ金融機関では、お客さまの個人情報約２万名分が、データ処理を委託した関連会社から漏えいし、個人情報を入力し5た記録媒体が名簿業者に出回った。
（ケース８）
Ｈ生命保険では、お客さまのクレジットカードの情報（カード番号、有効期限）約 32,000 件が流出した。このうち、約5,100 件ではクレジットカードの不正使用の試みがあった。
Ｈ生命保険の社内調査によると、この流出の原因について
は、外国の業務委託先の１人の社員に付与したＩＤからホストコンピュータに不自然なアクセスが複数回あり、これが情報流出源であるおそれが極めて高いものと判断されている。
その後、金融庁は同社に対し業務改善命令を発出した。
（ケース９）

第2章

情報漏えいがなぜ起こるのか？
１．金融機関における個人情報の大切さ
主要行および中小・地域金融機関を対象とする金融庁の「監督指針」では、「顧客に関する情報は金融取引の基礎をなすものである。したがって、その適切な管理が確保されることが極めて重要であり、銀行は、その業務に関して取得した顧客に関する情報の適正な取扱いを確保するための措置を講じなければならない」と規定されています。

Ｉ証券では、社員が、約 150 万件ものお客さまの個人情報金融機関では、預金・貸出・預かり資産等の取引情報、（氏名、住所、電話番号、生年月日、職業、年収区分、勤務交渉記録、与信情報、家族情報、勤務先情報、他の金融先、部署名、役職、業種など）を不正に持ち出し、このうち約５万名の情報を名簿業者へ売却した。その後、この名簿は約 100 社もの名簿業者へ流通した。
情報が名簿業者へ売買されたお客さまには、未公開株・投資用マンションの勧誘電話、海外の宝くじのダイレクトメール送付などが相次いだ。
その後、Ｉ証券では、情報が名簿業者へ売買された約５万機関からの借入情報など、さまざまな顧客情報を保有しています。
金融機関では、製造業などの多くの他業態に比べ、顧客の数や情報の種類がとても多いことから、顧客情報の取扱いにあたっては特に注意が必要です。
また、金融機関のシステム開発や新商品・サービスの拡名のお客さまに「お詫びのしるし」として１万円相当のギフト大等に伴い、金融機関の情報システムは一段と高度化・複券を送付した。

雑化しています。これとあわせ、コンピュータのネットワーク化の拡大に伴い、重要情報への不正なアクセス、漏えい（ケース 10）等のリスクが大きくなっているのが現状です。

Ｊ損害保険では、同社および子会社のお客さま等約 3,000名分の個人情報（氏名、住所、電話番号、保険料、保険金額、病院・診療所名等）が漏えいした。
漏えいの原因は、同社代理店のパソコンがウイルスに感染し、個人情報がファイル交換ソフト「Ｗｉｎｎｙ」のネットワーク上に流出したこととみられている。

6

２．情報漏えいの原因
金融機関における情報漏えいには、本ビデオで採り上げている「郵便物の誤送付」および第１章に掲げたケースのほか、「ファックスや電子メールの誤送信」、「書類の誤廃棄」、「印刷した重要文書の取り忘れ」などが挙げら
7

た記録媒体が名簿業者に出回った。
（ケース８）
Ｈ生命保険では、お客さまのクレジットカードの情報（カード番号、有効期限）約 32,000 件が流出した。このうち、約5,100 件ではクレジットカードの不正使用の試みがあった。
Ｈ生命保険の社内調査によると、この流出の原因については、外国の業務委託先の１人の社員に付与したＩＤからホストコンピュータに不自然なアクセスが複数回あり、これが情報流出源であるおそれが極めて高いものと判断されている。
その後、金融庁は同社に対し業務改善命令を発出した。
（ケース９）

第2章

情報漏えいがなぜ起こるのか？
１．金融機関における個人情報の大切さ
主要行および中小・地域金融機関を対象とする金融庁の「監督指針」では、「顧客に関する情報は金融取引の基礎をなすものである。したがって、その適切な管理が確保されることが極めて重要であり、銀行は、その業務に関して取得した顧客に関する情報の適正な取扱いを確保するための措置を講じなければならない」と規定されています。

Ｉ証券では、社員が、約 150 万件ものお客さまの個人情報金融機関では、預金・貸出・預かり資産等の取引情報、（氏名、住所、電話番号、生年月日、職業、年収区分、勤務交渉記録、与信情報、家族情報、勤務先情報、他の金融先、部署名、役職、業種など）を不正に持ち出し、このうち約５万名の情報を名簿業者へ売却した。その後、この名簿は約 100 社もの名簿業者へ流通した。
情報が名簿業者へ売買されたお客さまには、未公開株・投資用マンションの勧誘電話、海外の宝くじのダイレクトメール送付などが相次いだ。
その後、Ｉ証券では、情報が名簿業者へ売買された約５万機関からの借入情報など、さまざまな顧客情報を保有しています。
金融機関では、製造業などの多くの他業態に比べ、顧客の数や情報の種類がとても多いことから、顧客情報の取扱いにあたっては特に注意が必要です。
また、金融機関のシステム開発や新商品・サービスの拡名のお客さまに「お詫びのしるし」として１万円相当のギフト大等に伴い、金融機関の情報システムは一段と高度化・複券を送付した。

雑化しています。これとあわせ、コンピュータのネットワー
ク化の拡大に伴い、重要情報への不正なアクセス、漏えい（ケース 10）等のリスクが大きくなっているのが現状です。

Ｊ損害保険では、同社および子会社のお客さま等約 3,000名分の個人情報（氏名、住所、電話番号、保険料、保険金額、病院・診療所名等）が漏えいした。
漏えいの原因は、同社代理店のパソコンがウイルスに感染し、個人情報がファイル交換ソフト「Ｗｉｎｎｙ」のネットワーク上に流出したこととみられている。

6

２．情報漏えいの原因
金融機関における情報漏えいには、本ビデオで採り上げている「郵便物の誤送付」および第１章に掲げたケースのほか、「ファックスや電子メールの誤送信」、「書類の誤廃棄」、「印刷した重要文書の取り忘れ」などが挙げら7

れます。
これらのケースを分類すると、主に、①過失による漏えい、③外部者の侵入による漏えい
外部者の侵入による漏えいとは、社外から立ち入った第②故意による漏えい、③外部者の侵入による漏えいの３つ三者が、社内に保管されている個人情報を違法に持ち出しに分類されます。て情報が漏えいするというケースです。

①

います。これらの電子化された情報に不正にアクセスされ金融機関は、電子化された個人情報を大量に保有して過失による漏えい
過失による漏えいとは、本ビデオの「郵便物の誤送付」のように、意図的に漏えいするものではなく、うっかり漏えいしてしまったようなケースです。
過失による漏えいは、情報漏えいの最も起こりやすいケースといえます。
このケースで最も警戒しなければならない点は、たとえた場合、印刷物を持ち出された場合と比較して、はるかに大量の個人情報が持ち出される危険があります。
また、一般に、情報の管理は、現金や有価証券の管理と比べ緩みがちです。現金や有価証券と同様、情報も盗難の危険に晒されていることを絶えず留意しなければなりません。

漏えいを起こした本人に悪意がなくても、その情報を得た第三者に悪意があると、漏えいした個人情報が不正に使用され、漏えいしたお客さまに被害が及ぶ恐れがあることです。
また、たとえ不正使用による被害が発生しなくても、「個人情報を漏えいした」ということ自体が金融機関の信用低下につながります。
②

故意による漏えい
故意による漏えいとは、行職員（退職者を含む）が内部の情報を意図的に外部へ持ち出して情報が漏えいする、というケースです。
故意による漏えいの目的としては、持ち出した情報を換金して利益を得ることのほか、転職時や独立時に利用することなどが挙げられます。
故意による漏えいでは、上記の目的のため、「できるだけ多くの情報を持ち出そう」という心理が働きます。このため、第１章のケース８、ケース９のように、大量の情報が漏えいし、被害が大きくなる傾向があります。
89

れます。
これらのケースを分類すると、主に、①過失による漏えい、③

外部者の侵入による漏えい
外部者の侵入による漏えいとは、社外から立ち入った第②故意による漏えい、③外部者の侵入による漏えいの３つ三者が、社内に保管されている個人情報を違法に持ち出しに分類されます。て情報が漏えいするというケースです。

①

います。これらの電子化された情報に不正にアクセスされ金融機関は、電子化された個人情報を大量に保有して過失による漏えい
過失による漏えいとは、本ビデオの「郵便物の誤送付」のように、意図的に漏えいするものではなく、うっかり漏えいしてしまったようなケースです。
過失による漏えいは、
情報漏えいの最も起こりやすいケースといえます。
このケースで最も警戒しなければならない点は、たとえた場合、印刷物を持ち出された場合と比較して、はるかに大量の個人情報が持ち出される危険があります。
また、一般に、情報の管理は、現金や有価証券の管理と比べ緩みがちです。現金や有価証券と同様、情報も盗難の危険に晒されていることを絶えず留意しなければなりません。

漏えいを起こした本人に悪意がなくても、その情報を得た第三者に悪意があると、漏えいした個人情報が不正に使用され、漏えいしたお客さまに被害が及ぶ恐れがあることです。
また、たとえ不正使用による被害が発生しなくても、「個人情報を漏えいした」ということ自体が金融機関の信用低下につながります。
②

故意による漏えい
故意による漏えいとは、行職員（退職者を含む）が内部の情報を意図的に外部へ持ち出して情報が漏えいする、というケースです。
故意による漏えいの目的としては、持ち出した情報を換金して利益を得ることのほか、転職時や独立時に利用することなどが挙げられます。
故意による漏えいでは、上記の目的のため、「できるだけ多くの情報を持ち出そう」という心理が働きます。このため、第１章のケース８、ケース９のように、大量の情報が漏えいし、被害が大きくなる傾向があります。
89