「660万件流出」判明の3日前、タイムズカーは何を伝えた？ 企業の命運を分ける「初報の鉄則」（3/5 ページ）
タイムズカーの約660万件アカウント流出をはじめ大規模情報漏えいが相次ぐ中、全容判明前の「初報」の出し方が企業の信頼を大きく左右している。調査完了を待って公表を遅らせるリスクや「不正利用は確認されていない」という常套句の落とし穴を指摘。法令対応の「法律の時計」と二次被害を防ぐ「顧客の時計」を両立させ、不確実な状況でも顧客の不安を減らす危機管理広報の鉄則を最新事例から解き明かす。
「1.74億件流出」でも、何が流出したかで意味は変わる
数字の伝え方という点では、画像共有サービス「Gyazo」の事例も示唆に富んでいます。運営会社のHelpfeelは9月16日、不正アクセスによってユーザーに関するデータ約2362万件などが流出したと公表しました。
その後、9月25日の第2報では、過去に削除された画像に関するメタデータ約1億7400万件の流出を新たに確認したと発表しました。ただし、これは削除済みの画像ファイルそのものが1億7400万件流出したという意味ではありません。
同社は、流出が確認されたのは画像に関するメタデータであり、今回新たに確認された流出に削除済みの画像ファイル自体は含まれないと説明しています。
また、同社は一時停止していたGyazoのサービスを9月27日に再開したと公表しています。数字が大きいほど、情報の種類や意味を丁寧に伝える必要があります。「ユーザーに関するデータ」と「利用者の人数」は同じではありません。「画像に関するメタデータ」と「画像ファイル」も違います。
数字を小さく見せようとする必要はありません。しかし、大きく見せることにも意味はありません。受け手がリスクを正しく理解できるようにすることが重要です。
企業が伝えるべきなのは「おわび」だけではない
10月15日には、ソースネクストが会員情報への不正アクセスを公表しました。同社によると、10月13日に不正アクセスを確認し、同日中に封じ込めを完了。その後の調査で、10月9日から不正アクセスがあり、会員情報取得APIが不正に利用されていたことが判明したといいます。
公表資料では、流出した可能性のある情報の対象件数を2251万9960件としました。ここでも、対象件数の全てについて、列挙された全項目が流出したと発表しているわけではありません。同社は登録状況によって対象項目が異なることを明記しています。その上で、同社は利用者に対してパスワードの再設定を求め、他のサービスでも同じパスワードを使用している場合は変更するよう呼びかけました。不審なメールやSMSへの注意も促し、対象者への個別メールや専用窓口について案内しました。
こうした情報は、単なるおわびの付属物ではありません。利用者が二次被害を防ぐための重要な案内です。
一方、10月8日に第一興商が公表したのは、委託先企業の従業員端末がマルウェアに感染し、顧客情報が漏えいしたおそれがあるという事案でした。同社は当時、実際に外部へ漏えいした事実は確認されていないと説明しています。
委託先で発生した事故であっても、顧客から見れば、自分の情報を預けた企業からの説明が必要になります。委託先に調査を任せることと、顧客への説明責任を果たすことは別問題です。事故の発生場所にかかわらず、顧客への連絡、問い合わせ対応、続報の発信について、誰が責任を持つのかを明確にしておきたいところです。
Copyright © ITmedia, Inc. All Rights Reserved.
関連記事
旭化成・元社員「情報漏えい」で逮捕 「PC返却」で安心する企業が陥る“時間差流出”の罠
旭化成の元社員が営業秘密を漏えいしたとして、不正競争防止法違反の疑いで愛知県警に逮捕された事件。会社は「辞める人」の何を確認すべきなのか。そして、機密漏えいが起きてしまったとき、会社は何を語るべきなのか。
「残業203時間」「1人で11億円送金」──はてな事件報告書が暴いた“経営の無関心”
4月に起きた「はてな11億円流出事件」。特別調査委員会報告書が明かした真実は、詐欺の手口の巧妙さではなく、経営陣の無関心という組織病理だった。残業203時間の経理部長による悲鳴、長年のブラックボックス化、上限約1兆円の送金権限放置など、無数の「異変の点」が放置された実態を解説。現場の違和感を拾い上げ「だまされても会社を壊さない」ガバナンスを構築するための、経営者への処方箋とは？
「11億円を自ら振り込んだ」エンジニア集団の悲劇 はてなを襲った巨額詐欺、IT企業の意外な盲点
東証グロース上場のはてなが発表したニュースは、IT業界のみならず日本の経営層に激震を走らせた。悪意ある第三者からの「虚偽の送金指示」に従い、最大約11億円という巨額の資金を外部口座へ送金してしまったというのだ。これは「あの会社が特別に脇が甘かった話」ではない。どの業種の、どの規模の会社でも起こり得るリスクだ。
プルデンシャル謝罪会見 「おしゃれすぎる」スーツが“地雷”だったワケ
1月23日、プルデンシャル生命保険が謝罪会見を実施した。約31億円という巨額の不正事件そのものはもちろんだが、ネットを騒がせたのは、進行役を務めた男性司会者の服装だった。経営層が学ぶべき、謝罪の場における装いとは？
「売上99.7%が架空でも表彰」 KDDI不正会計が暴いた「悪い報告が上がらない組織」の病理
KDDI子会社で発覚した巨額の不正会計。なぜ、売上高の99.7％、2461億円が架空だったにもかかわらず、不正に関与した社員は「優秀な人材」として社内表彰され、7年間も組織は止まることができなかったのか。近年相次ぐ不正事例も交えながら、危機管理の最前線で見えてきた「悪い報告が上がらない組織」の病理と、経営者が真に問うべき課題を考える。
「貧乏人の食べ物だ」 “スープの巨人”キャンベル社が防げなかった「顧客蔑視」の末路
「スープの代名詞」、ザ・キャンベルズ・カンパニーの副社長（当時）であるマーティン・バリー氏が口にした「貧乏人のためのクソみたいな食べ物」。通報者はわずか20日後に会社を解雇された。同社の対応は、有事における企業対応のケーススタディとして極めて示唆に富んでいる。時系列で追う。
アサヒ、アスクルに学ぶ サイバー攻撃後に「信頼を落とさない会社」がやっていること
アサヒグループホールディングスやアスクルを事例に、サーバ攻撃後に「信頼を落とさない会社」がやっていることを分析してみた。
サントリー新浪前会長は、なぜ「無罪推定」の段階で辞任したのか？
サントリーの新浪剛史前会長が突然の辞任を発表した。捜査はまだ進行中。起訴も判決も下っていない。刑事法の原則でいえば「無罪推定」の段階だ。それでもなぜ、経営トップは早々に職を退いたのか？
日テレの「何も話さない」会見は必要だった？ 国分太一氏降板に見る企業のリスク判断軸
6月20日に日本テレビが開いた記者会見。こうした会見の在り方が企業にとってどのような意味を持つのか、記者会見の設計において“語らない”という選択がどう受け止められ、実務にどう生かせるかを、危機管理広報の視点から掘り下げる。
フジテレビの「3つの判断ミス」 信頼回復への新セオリー
フジテレビ問題は、社会に深く根付いた「人権リスク」の存在を、図らずも白日の下にさらけ出した。危機管理の観点から一連の出来事と対応を検証する。