2025年8月中旬、韓国の大手クレジットカード会社ロッテカードで発生した大規模データ流出事件は、現代企業が直面するサイバーセキュリティの課題を浮き彫りにしました。約300万人もの顧客情報が流出したこの事件は、決して対岸の火事ではありません。
フォレンジックアナリストとして数多くのインシデント対応を経験してきた私の視点から、この事件の詳細分析と、あなたの会社でも今すぐ実施すべき対策について解説していきます。
事件の全貌：なぜ300万人のデータが流出したのか
今回の流出事件で明らかになったのは、企業セキュリティの「三重の致命的欠陥」でした。
致命的欠陥①：8年間放置された脆弱性
最も衝撃的だったのは、2017年に修正パッチが公開されていた決済関連サーバが、8年間も未更新のまま放置されていたという事実です。このサーバは海外向けで利用が限定的だったため、管理の優先度が低く見なされていたと推測されます。
実は私が関わった中小企業のインシデントでも、同様のケースを何度も見てきました。「使用頻度が低いから大丈夫」「外部からアクセスできないはず」という思い込みが、結果的に大きな被害につながってしまうのです。
致命的欠陥②：2週間も検知できなかった監視体制
攻撃者は侵入後、約2週間にわたって検知されることなく活動を続けました。この間に約2,700件ものファイルが外部に持ち出されたとされています。
現役CSIRTの立場から言えば、これは明らかに監視・検知体制の不備を示しています。適切なセキュリティ監視システムがあれば、不審なファイルアクセスや大量データの外部送信は、遅くとも数時間以内に検知されるべきでした。
致命的欠陥③：暗号化率わずか56％の危険性
流出したデータのうち、暗号化されていたのは約56％にとどまっていました。これは残り44％のデータが平文のまま保存されていたことを意味します。
特に深刻なのは、流出した情報の内容です：
- 住民登録番号などの識別情報
- 連絡先情報（電話番号・住所等）
- カード番号・有効期限・認証コード（CVC/CVV）
これらの組み合わせは、攻撃者にとって「宝の山」と言えるでしょう。なりすまし詐欺や不正利用の材料として、長期間にわたって悪用される可能性が極めて高いのです。
企業規模に関わらず起こりうる現実
「ロッテカードは大企業だから、うちには関係ない」と思うかもしれません。しかし、私が対応してきた事例では、むしろ中小企業の方が深刻な被害を受けることが多いのです。
実際にあった中小企業での事例
昨年対応した製造業A社（従業員約80名）では、古いWebサーバの脆弱性を突かれ、顧客データベース全体が暗号化されるランサムウェア攻撃を受けました。幸いアンチウイルスソフト
を導入していたため、感染の拡大は防げましたが、バックアップデータの一部が暗号化される被害が発生しました。
また、建設業B社では、従業員がVPN
を使用せずに公衆Wi-Fiから社内システムにアクセスしたため、認証情報が盗まれる事件も発生しています。
今すぐ実施すべき5つの対策
ロッテカード事件の教訓を踏まえ、あなたの会社でも今すぐ実施すべき対策を優先度順に紹介します。
対策①：全サーバの脆弱性診断実施
まず最優先で行うべきは、社内の全システムに対する包括的な脆弱性診断です。特に「使用頻度が低い」「テスト環境」「レガシーシステム」こそ要注意です。
Webサイト脆弱性診断サービス
なら、このような見落としがちなシステムも含めて、専門的な診断を受けることができます。月1回の定期診断を導入することで、新たな脆弱性の早期発見が可能になります。
対策②：エンドポイント保護の強化
従業員の端末を起点とした攻撃も増加傾向にあります。アンチウイルスソフト
の導入により、マルウェアの侵入を水際で防ぐことができます。
特に重要なのは、リアルタイム監視機能です。怪しい動作を検知したら即座にファイルを隔離し、被害の拡大を防いでくれます。
対策③：リモートアクセスの安全性確保
テレワークが当たり前になった今、VPN
の導入は必須です。公衆Wi-Fiや自宅ネットワークから社内システムにアクセスする際の通信を暗号化し、盗聴や改ざんから守ります。
対策④：データ暗号化の徹底
保存されている全ての機密データの暗号化を実施してください。ロッテカードのように44％が平文保存では、流出時の被害が甚大になります。
対策⑤：監視・検知体制の構築
24時間365日の監視体制を構築し、異常な通信やファイルアクセスを即座に検知できるようにします。小規模企業でも、クラウド型のセキュリティ監視サービスを活用すれば、コストを抑えながら高度な監視が可能です。
政府機関でも起きた連携不備の教訓
今回の事件では、韓国政府内での縦割り行政による初動対応の遅れも問題視されました。金融セクターは金融保安院、非金融はKISAという所管の分離が、情報共有や統合対応の障害になったのです。
これは日本企業にとっても重要な教訓です。社内でも、IT部門・総務部門・経営層の連携不備により、インシデント対応が後手に回ることがよくあります。
まとめ：予防こそ最大の防御
ロッテカード事件は、「予防可能だった」事件の典型例です。8年前に公開されたパッチの適用、適切な監視体制の構築、データの暗号化徹底—これらのいずれか一つでも実施されていれば、被害は大幅に軽減できたはずです。
サイバー攻撃は「いつか来るもの」ではなく、「いつ来てもおかしくないもの」です。今回の事件を教訓に、あなたの会社でも今すぐセキュリティ対策の見直しを始めてください。
被害が発生してからでは遅いのです。300万人の個人情報流出という深刻な事態を招いたロッテカードの二の舞にならないよう、予防的なセキュリティ投資を検討することをお勧めします。
一次情報または関連リンク
韓国の大手クレジットカード会社ロッテカードで、2025年8月中旬に外部からの不正アクセスによるサイバー攻撃が発生し、約300万人分の顧客の個人情報が流出
