2025年10月22日、大阪府警で深刻な内部情報漏えい事件が明るみに出ました。羽曳野署の警部補が府警OBの行政書士と共謀し、捜査権限を悪用して銀行口座情報を不正に入手・提供していたのです。
事件の概要：信頼を裏切った内部犯行
今回逮捕されたのは、大阪府警羽曳野署刑事課知能犯係の警部補・草川亮央容疑者（56歳）と、府警OBで行政書士の道沢正克容疑者（68歳）の2名です。
草川容疑者は2025年1月下旬、道沢容疑者から第三者の法人や法人代表の銀行口座の預金残高を調べるよう依頼されました。そして翌月、「捜査関係事項照会」という警察の正当な権限を悪用し、実際の捜査とは無関係な口座情報を不正に入手・提供したのです。
捜査関係事項照会の悪用手口
「捜査関係事項照会」とは、刑事訴訟法に基づく警察の正当な権限です。令状とは異なり強制力はありませんが、警察内の決裁さえあれば金融機関などに情報提供を求めることができます。
草川容疑者は以下の手口で制度を悪用しました：
- 捜査上必要と装って虚偽の関係書類を作成
- 上司に気づかれないよう密かに照会手続きを進行
- 正当な権限を装って銀行から口座情報を入手
- 入手した情報を道沢容疑者に漏えい
インサイダー脅威の深刻な実態
フォレンジック調査を数多く手がけてきた経験から言うと、この事件は典型的な「インサイダー脅威」の事例です。特に以下の要因が重なったことで発生しています：
1. 人的なつながりの悪用
両容疑者は府警本部捜査2課で同僚として働いていた過去があり、退職後も関係が続いていました。このような信頼関係が、不正行為の温床となってしまったのです。
2. 権限の濫用
草川容疑者は知能犯係という立場を利用し、正当な業務手続きを装って不正行為を実行しました。これは外部からの検知が極めて困難な手口です。
3. 利益相反の放置
道沢容疑者は行政書士として調査会社も設立しており、警察情報へのアクセスが業務上有利に働く立場にありました。このような利益相反関係のチェック体制が不十分だった可能性があります。
組織が直面するインサイダー脅威リスク
この事件から学べる教訓は、どんな組織でもインサイダー脅威のリスクを抱えているということです。特に以下のような組織は要注意です：
- 機密情報を扱う部署がある企業
- 個人情報を大量に保有する組織
- システム管理者権限を持つ職員がいる会社
- 退職者との関係が続いている職場
実際、私が関わった企業調査でも、元従業員が在職中に知り得た情報を悪用するケースは珍しくありません。特に中小企業では、人的なつながりを重視するあまり、セキュリティ対策が疎かになりがちです。
効果的なインサイダー脅威対策
技術的対策
組織の情報セキュリティを強化するには、まず技術的な防御策が重要です。特に以下のような対策が効果的：
- アクセスログの詳細記録と定期的な監査
- 権限の最小化原則の徹底
- 異常なアクセスパターンの自動検知
- データ持ち出しの制限と監視
個人レベルでも、重要な情報を扱う際はアンチウイルスソフト
でデバイスを保護し、機密データへの不正アクセスを防ぐことが大切です。
組織的対策
技術だけでは限界があります。組織運営面でも以下の対策が必要：
- 定期的な内部監査の実施
- 職務分掌の明確化
- 退職者との関係に関するガイドライン策定
- 通報制度の整備
リモートワーク時代の新たなリスク
コロナ禍以降、多くの組織でリモートワークが普及しました。しかし、これにより新たなセキュリティリスクも生まれています：
- 自宅からの業務システムアクセス
- 私用デバイスでの業務利用
- 家族など第三者による情報へのアクセス
- 不安定な通信環境での機密情報送受信
特にリモートワーク環境ではVPN
の利用が重要です。公衆Wi-Fiや家庭用回線を使って業務を行う際、通信内容の盗聴や改ざんを防ぐことができます。
中小企業が今すぐできる対策
大企業のような高度なセキュリティシステムを導入できない中小企業でも、基本的な対策は実施可能です：
- アクセス権限の定期見直し
誰がどの情報にアクセスできるか、3ヶ月に一度は確認しましょう - 退職時の手続き標準化
アカウント削除、機器回収、秘密保持契約の再確認を漏れなく実施 - ログ管理の徹底
誰がいつ何にアクセスしたか記録を残し、定期的にチェック - セキュリティ意識の向上
従業員への定期的な研修で、インサイダー脅威について理解を深める
また、Webサイトを運営している企業は、Webサイト脆弱性診断サービス
で定期的にシステムの脆弱性をチェックすることも重要です。内部からの攻撃と外部からの攻撃の両方に備える必要があります。
発覚後の対応も重要
今回の大阪府警の事件では、2025年1月に外部からの情報提供により不正が発覚しました。組織としては以下の点が重要です：
- 内部通報制度の整備と周知
- 通報者保護の徹底
- 迅速な調査体制の確立
- 再発防止策の策定と実施
万が一、組織内で情報漏えいが発生した場合は、証拠保全とフォレンジック調査が欠かせません。デジタル証拠は適切に扱わないと法廷で使用できなくなる可能性もあるため、専門家による調査が重要です。
まとめ：信頼だけでは守れない時代
今回の事件は、「警察官だから信頼できる」という性善説の限界を示しています。どんなに信頼できる人物であっても、適切なチェック体制がなければ不正行為は防げません。
特に個人事業主や中小企業経営者の方は、以下の点を再確認してください：
- 重要な情報へのアクセス権限は最小限に
- 定期的なセキュリティ監査の実施
- アンチウイルスソフト
やVPN
などの基本的なセキュリティツールの活用 - 従業員のセキュリティ意識向上
「うちの会社は小さいから大丈夫」「信頼できる人しかいないから安心」—そんな油断が、取り返しのつかない情報漏えい事件につながる可能性があります。
サイバーセキュリティは「完璧」を目指すものではなく、「リスクを管理」するものです。今回の事件を教訓に、自社のセキュリティ体制を見直してみてはいかがでしょうか。
