今年3通目の「お知らせ」が語るもの ―― あるBPO事業者の不正アクセスと、ISMSが照らさなかった空白

3通のお知らせ

ある会社のウェブサイトの「お知らせ」欄は、今年まだ3件しか更新されていない。1通目は新年のあいさつ。残る2通が、自社ネットワークへの不正アクセスの報告と、その続報だった。年に数えるほどしか動かないチャンネルが、あいさつのあと沈黙し、次に口を開いたのが謝罪だった――この履歴自体が、平時にセキュリティを語る文化を持たない組織の姿を映している。

会社は群馬県に本社を置く、1978年創業の情報処理事業者だ。書類のデータ入力に始まり、全国に処理拠点を広げ、いまはコールセンターやデータベース構築、人材派遣までを担う。導入事例には金融、自治体、通信事業者が並ぶ。他人の個人情報を預かって処理することが、この会社の四十余年の本業である。その本業の会社が、不正アクセスを受けた。

本稿は個社を断罪するためのものではない。この一件に、ISMS認証を掲げる多くのBPO事業者に共通する構造的な弱点が、教科書のように現れているからこそ取り上げる。

報告書が「対象」を絞れなかったということ

第一報は、境界機器(FortiGate)への不正アクセスを認め、機器を撤去して別のファイアウォールに入れ替えたこと、専門調査会社による調査を進めていることを伝えた。第二報では、メインサーバーを除くPC・サーバー群のファストフォレンジックが完了し、不審な通信・コマンド実行・マルウェアの痕跡はいずれも確認されなかったと報告している。残るメインサーバーのディープフォレンジックは継続中だ。

段取りは丁寧で、用語も正確、「情報漏えいを示唆する具体的な痕跡は確認されていない」と断定を避けた慎重な書き方も保たれている。だが、丁寧であることと安心できることは別だ。この報告書には、本来あってほしい一文がない。「侵害されたのはこの範囲で、顧客からお預かりしているデータは別系統ゆえ影響の外にある」――その切り分けが、どこにも書かれていない。

「多大なるご心配をおかけしている」と繰り返すのなら、心配している当の顧客に「あなたのデータは安全な場所にあります」と言えるのが最も効く。それを言わず、「配下のPC・サーバーを網羅的に調べた」「メインサーバーは別途ディープフォレンジックにかける」という語り口をとっている。これは、調査対象がセグメント単位ではなく、ひとつながりの島として扱われていることを示唆する。顧客ごと・案件ごとにネットワークとデータが分離されていれば、報告もその単位で語られ、影響範囲はもっと早く、もっと狭く確定できたはずだ。対象を絞れなかったこと自体が、顧客単位・案件単位で影響範囲を切り分けられる設計ではなかった可能性を示唆している。少なくとも、そうした分離を確認できる報告にはなっていない。

外から見えるのは、たった1枚

この推測を、外形からも確かめてみた。攻撃者と同じ視点――インターネット側から見て、この会社の接点がいくつあるか――を、公開情報だけでたどる。

結果は、拍子抜けするほど少なかった。DNS、証明書透明性ログ、パッシブDNSを束ねて調べても、観測できる自社の接点は会社案内サイト1枚きり。しかもそれは自社設備ですらなく、大手通信事業者の共用ホスティング上に載っている。メールも同じ事業者に委託。自社が管理する、名前のついたインターネット接点は、実質ゼロに等しい。

四十余年の歴史を持ち、沿革には「データセンター開設」の記述もある会社が、である。だが、そのIPアドレスを割当元まで遡っても、出てくるのは通信事業者の名前ばかりで、自社名義のネットワーク（独自のIPブロックや自律システム番号）は外形からは一つも確認できない。かつて全国に構えた処理拠点が、いまインターネットに面してサーバを自社運用している痕跡は、公開情報の範囲には見当たらない。長い歴史と、外から見える接点の薄さとの落差が、この会社の現在地を物語っている。

では、侵入口となった境界機器はどこにいたのか。DNSにも証明書透明性ログにも、その名前は一切現れない。独自のホスト名は確認できず、公開情報から辿れる正規のTLS証明書も見当たらないまま、グローバルIPアドレスに直付けされていた――外からは輪郭すら描けない「名無しの箱」である。

ここに、この時期特有の危うさが重なる。2026年6月以降、インターネットに露出したこの種の境界機器から、有効な管理者・VPN認証情報が大量に収集・検証され、攻撃者側のデータベースとして流通していることが繰り返し警告されてきた。名前を隠しても意味はない。攻撃者は名前ではなく、IPアドレスの全数スキャンで機械的に当ててくる。名無しの箱は、隠れているのではなく、ただ無防備なだけだった。

塗りたてのISMSが照らさなかった場所

この会社は、昨年ISMS(情報セキュリティマネジメントシステム)の認証を、最新版の規格で取得している。塗りたての認証だ。そして今回の不正アクセスは、その最初の維持審査(サーベイランス)を迎える前、取得から一年に満たないうちに起きた。

見落としてはならないのが、認証の範囲だ。登録範囲は「BPO事業・コンタクトセンター事業」であって、全社ではない。会社が掲げるもう一つの柱、システム開発事業は、認証範囲の記載に含まれていない。

範囲を業務で切ること自体は、珍しくも間違いでもない。問題は、攻撃者が業務区分で攻めてこないことだ。攻撃者が見るのは、インターネットに露出した箱の総数である。今回破られた境界機器は、BPO業務を支える基盤であると同時に、どの業務部門が管理する資産なのかが曖昧になりやすい共通インフラでもある。業務でスコープを切ると、その業務を支える共通インフラ――境界機器、VPN、DNS――が、どの範囲にもきちんと属さない空白地帯になりやすい。証書にも載らず、DNSにも載らない。その二重に見えにくい場所が、実際の突破口になった。ISMSという仕組みそのものの問題ではない。範囲の切り方が、それを支える土台を照らさなかったのだ。

20年前から、世界の常識だったこと

そして、この事案の核心はここにある。BPOにおける分離は、SaaSのテナント分離とは別物だ。

SaaSのテナント分離は、ひとつのアプリケーション基盤の内側を論理的に区切る話で、破られ方も「テナント境界の実装バグ」に集約される。だがBPOは違う。顧客ごとに、データの受け渡し経路も、作業する端末も、保管する場所も本来ばらばらであるべきで、その分離はもっと物理・ネットワーク寄りの、手触りのあるものになる。顧客Aの案件と顧客Bの案件を、同じネットワーク、同じファイルサーバ、同じVPNの配下に平置きしていたら、境界を一枚破られた瞬間に、すべての顧客が同時に露出する。

これは理想論ではない。インドや中国のオフショア開発センター・BPOセンターを実際に訪れたことのある人間なら知っている。あそこでは、ネットワークの分離はもちろん、フロアへの物理的な入退室、私物やスマートフォンの持ち込み制限に至るまで、顧客単位・案件単位で隔離するのが当たり前だ。それも今に始まったことではなく、20年以上前から、他人のデータを預かる商売の世界標準として実装されてきた。顧客の監査に耐えるために、そうせざるを得なかったのである。

その標準に照らせば、境界機器を一枚破られて「配下のPC・サーバーを網羅的に調べています」と言わざるを得ない状態は、顧客単位で影響範囲を切り分けられる設計ではなかった可能性をうかがわせる。そう疑わせるだけの材料が、報告書の文面と外形観測の両方から見えてくる。

残された一点

社長が自らの名前で詫び状を出したことは、この一件が技術的トラブルではなく会社の信用そのものに関わると経営が理解している証拠だ。他人のデータを預かる会社にとって、「あそこは漏らすかもしれない」の一言は事業の根幹を揺るがす。その必死さと裏腹に、報告書の完成度の高さは別の由来を持つように見える。正確な用語、慎重な言い回し、調査会社名の明示――おそらく社内の情報システム部門ではなく、インシデント対応を請け負った専門会社の手によるものだ。緊急時にだけ外注で体裁が整い、平時の運用は手薄なまま、という中小にありがちな非対称。年に3通しか更新されない「お知らせ」欄が、それを静かに裏づけている。

最終的な評価は、まだ確定できない。すべては、継続中のディープフォレンジックが何を「メインサーバー」と呼び、そこに何が載っていたかにかかっている。顧客の預かりデータが境界から分離されていなかったのなら、これは境界機器の侵害にとどまらず、BPO事業者としての分離設計そのものが問われる話になる。次の報告はその一点を明らかにするだろうか。それとも、また対象を絞れないまま「痕跡は確認されていない」と繰り返すだろうか。読むべきは、そこである。

---

本稿は公開情報および外形的な調査(DNS・証明書透明性ログ・公開ポートの観測)のみに基づく分析であり、対象組織の内部構成を断定するものではない。侵入経路・影響範囲の確定は、正式な調査報告を待つ必要がある。