ECサイトの情報漏えいは1事案あたり3800件、慰謝料は平均1900万円との試算

2016年に公表された事案をトレンドマイクロが分析。課題や対策などをまとめた。

[ITmedia]

　トレンドマイクロは10月5日、2016年に国内のECサイトで発生した個人情報漏えい（可能性を含む）事件の分析結果をブログで公表した。事件の多くが外部通報で発覚しており、異変をいち早く検知できることが重要だとしている。

　同社が分析したのは、2016年1月〜9月に公表された13の事案で、うち10件は個人情報やクレジットカード情報などの漏えいの可能性があるもの。漏えい規模はのべ15万件になり、1事案あたりでは約3800件（中央値）だった。

　被害者への損害賠償額は、1人あたり数千円から数万円になるとし、過去には約5万人の個人情報が流出した事案で5億円以上になったケースもあると指摘する。仮に1人あたりの賠償額を5000円とした場合、1事案あたりでは総額1900万円になると試算した。

　公表された事案の約7割で原因が明らかにされていないが、明らかにされた全てのケースでECサイトもしくはシステムの脆弱性が狙われた。発覚した経緯では77％が外部からの連絡によるものだった。

情報漏えい事例の原因別割合（出典：トレンドマイクロ）

事例の発覚原因別割合（同）

　こうしたことから同社では、ECサイトを構成するOSやミドルウェア、アプリケーションなどの脆弱性対策を十分に講じるべきと指摘。脆弱性診断や修正パッチの管理を実施するほか、これらの対応が難しい場合やセキュリティ上の問題点を改修し切れない場合には、脆弱性悪用するサイバー攻撃を防ぐようなソリューションを活用してほしいとしている。

　また、異変を検知するポイントとして（1）外部との不正な通信、（2）サーバの異常、（3）不正プログラムの侵入、（4）ファイルの作成や削除、（5）ネットワーク機器やサーバなどのログ――を挙げている。