2023年5月、トヨタ自動車は、クラウド環境の設定ミスにより、一部の顧客情報が外部から閲覧できる状態になっていたと発表しました。

最初に公表された事案では、対象となり得る顧客は約215万人。外部からアクセスできる状態が約9年半続いていたことも明らかになりました。

問題は、設定を誤ったことだけではありません。長い間、その設定に気づけなかったことも課題でした。何が起き、なぜ発見が遅れたのか。2023年に公表された資料をもとに確認します。

何が起きたのか

2023年5月12日の発表によると、管理を委託していたクラウド環境の一部が、誤って外部からアクセスできる設定になっていました。

閲覧された可能性があるのは、車載端末のID、車台番号、車両の位置情報、時刻です。対象となり得るのは、指定の期間に関連サービスを契約していた約215万人でした。

外部からアクセスできる状態だった期間は、2013年11月6日から2023年4月17日まで。約9年半に及びます。

ただし、約215万人という数字は「情報が外部から閲覧された可能性のある顧客」の規模を示したものです。215万人分の情報が実際に第三者に取得された、あるいは悪用されたと確認された人数ではありません。5月12日の発表時点では、第三者による二次利用や二次被害は確認されていないと説明されていました。

追加調査で別の問題も見つかった

最初の発表後、管理するクラウド環境を広く調べた結果、5月31日に別の事案も公表されました。

国内向けサービスでは、約26万人に関係する車載端末IDや地図更新用データなどが外部からアクセスできる状態だったと判明しました。こちらの地図データは、車両の走行位置情報ではありません。また、地図データの配信後は原則として短時間で削除される仕組みで、対象期間中ずっと蓄積されていたわけではないと説明されています。

海外向けサービスでも、アジア・オセアニア地域の販売店向けシステムを調べるためのファイルが、誤設定によって外部からアクセスできる状態になっていました。ファイルによっては、氏名、住所、電話番号、メールアドレスなどの一部が含まれていました。

最初の約215万人と追加発表の約26万人は、対象となるサービスや情報が異なります。 単純に合算して被害人数と捉えるべきではありません。

なぜ長期間、設定ミスに気づけなかったのか

2023年7月に公表された再発防止策の報告では、原因として二つの出来事が挙げられています。

一つは、担当者が認識を誤ってクラウドサーバーを公開設定にしたこと。もう一つは、すでに公開状態だったクラウドサーバーに個人情報を保存したことです。

さらに、組織の管理にも問題があったと説明されています。

  • 設定を防ぐ仕組みが足りなかった：担当者の判断だけで不適切な公開設定ができ、設定の誤りを確認する機能や体制も十分ではありませんでした。
  • 周囲の担当者も気づけなかった：当初の設定担当者だけでなく、その後に管理を引き継いだ従業員なども長期間、問題に気づきませんでした。
  • 委託先の確認が不十分だった：ルールは示していたものの、委託先の現場で守られているかを十分に確認できていませんでした。

つまり、担当者の操作だけが原因ではありません。誤った設定を防止し、見つける仕組みが働いていなかったことが、問題の長期化につながりました。

公開設定のまま保存された情報が、外部からアクセスできる状態を示す概念図

問題が判明した後、どう対応したのか

最初の事案が判明した後、企業は外部からのアクセスを遮断し、対象となる顧客へのメール連絡と、ほかのクラウド環境の調査を進めました。

5月31日の追加発表では、クラウドの設定を監視するシステムの導入が完了し、設定調査と継続的な監視が始まっていると説明しています。

その後、7月12日には、国内の事案について個人情報保護委員会から指導を受けたことと、再発防止策が公表されました。

再発防止策として何を変えたのか

7月に公表された詳しい報告では、次の対策が示されています。

1. 間違った公開設定をできないようにする

決められた条件に合わない場合は、クラウドサーバーを公開設定にできないようにします。あわせて、診断ツールで設定を常時監視し、問題を早期に発見できるようにします。

2. 設計段階から個人情報の扱いを確認する

顧客データを扱うシステムは、仕様を決める前に個人情報保護の専門部署が影響を評価する方針です。設定を確認するだけでなく、そもそもの設計に問題がないかを確かめます。

3. 現場に合わせた教育を行う

教育の対象は、設定担当者や個人情報を扱う担当者だけではありません。周辺業務に関わる従業員にも広げ、具体的な事例を使って理解を深めるとしています。

4. 委託先の運用状況を確認する

委託先から年2回の定期報告を受け、必要に応じて監査や立入検査を行う方針です。ルールを渡して終わりにせず、実際に守られているかを確認することが重視されています。

クラウド環境の設定監視とアクセス権限の確認を示すイメージ

この事例を自社の対策にどう生かすか

この事例で特徴的なのは、クラウドサーバーが長年にわたり公開状態にあったことです。設定を行った時点で問題を見つけられず、その後の管理でも発見できませんでした。

同じような問題を防ぐため、自社でクラウドを利用している場合は、少なくとも次の点を確認しておきたいところです。

  • 顧客情報の保存先が、外部からアクセスできる設定になっていないか。
  • 公開設定の変更を誰が行え、その変更を誰が確認するのか。
  • 誤った公開設定を自動的に検知する仕組みがあるか。
  • 外部の会社に運用を任せている場合、設定や点検の結果を確認できているか。

これらは、今回公表された対策をもとに整理した確認項目です。すべての企業で同じ仕組みが必要というわけではありませんが、「担当者が気をつける」だけに頼らないことは共通する教訓です。

クラウドの設定は、一度確認して終わりではありません。保存するデータや担当者が変わっても、公開範囲を継続して確認できる体制が必要です。

参考資料

トヨタ自動車（2023年5月12日）「クラウド環境の誤設定によるお客様情報の漏洩可能性に関するお詫びとお知らせについて」 https://global.toyota/jp/newsroom/corporate/39174380.html

トヨタ自動車（2023年5月31日）「クラウド設定によるお客様情報の漏洩可能性に関するお詫びとお知らせについて」 https://global.toyota/jp/newsroom/corporate/39241571.html

トヨタ自動車（2023年7月12日）「お客様情報の漏洩可能性に関するお詫びとお知らせについて（再発防止策のご報告）」 https://global.toyota/jp/newsroom/corporate/39529198.html

トヨタ自動車（2023年7月10日）「再発防止策のご報告」（PDF） https://global.toyota/pages/global_toyota/sustainability/privacy/posts/publication/202307_1.pdf