東京ヴェルディで発生した大規模クレジットカード情報漏洩事件
2025年6月27日、神奈川県警は東京ヴェルディのオンラインサイトから大量のクレジットカード情報を不正に入手していた石川雄貴容疑者（30）と福崎大輔容疑者（32）を再逮捕しました。この事件は、内部関係者による犯行という点で特に注目を集めています。
事件の概要と被害規模
石川容疑者は2021年から2022年にかけて、システムエンジニアとして東京ヴェルディのサイト開発・保守に従事していました。契約終了後も、彼は以下の手口で不正行為を継続していました：
- 2023年8月～2024年6月：東京ヴェルディのサイトに不正アクセス
- 顧客のクレジットカード情報が閲覧できるようにシステムを改ざん
- 45人分のカード情報を不正に入手（判明分）
- カード情報1件あたり約5000円で売却
最終的な被害は深刻で、約2700件のカード情報が漏洩し、名義人が把握していない不正購入は約4200万円に達しました。
組織的犯罪の実態
この事件で特に注目すべきは、組織的な犯罪構造です。フォレンジック調査の観点から見ると、以下のような役割分担が明確に存在していました：
- 情報窃取役：石川容疑者（システム改ざん・情報入手）
- 仲介役：福崎容疑者（情報の売却）
- 買い子グループ：不正なカード使用による商品購入
- 換金役：山上正剛容疑者（商品の現金化）
内部犯行の脅威と中小企業が直面するリスク
なぜ内部犯行は発見が困難なのか
私がCSIRTで対応してきた事例でも、内部関係者による情報漏洩は外部攻撃よりも発見が遅れがちです。その理由は：
- 正当なアクセス権限を悪用するため、ログ上で異常を検知しにくい
- システムの仕様を熟知しているため、痕跡を残さない手法を使う
- 契約終了後もアクセス権限が残存している場合がある
中小企業でよく見られる脆弱性
東京ヴェルディのような事例は、実は中小企業でも頻繁に発生しています。私が調査した類似ケースでは：
- 退職した従業員のアカウントが無効化されていない
- 開発・保守業者のアクセス権限管理が不十分
- 顧客情報へのアクセスログが適切に監視されていない
- 定期的なセキュリティ監査が実施されていない
これらの問題により、200万円程度の被害でも会社の信用失墜につながるケースを何度も見てきました。
個人・企業が実践すべき対策
個人ができる自衛策
今回のような事件から身を守るために、個人レベルでできる対策があります：
1. クレジットカード利用明細の定期チェック
月1回は必ず利用明細を確認し、身に覚えのない取引がないかチェックしましょう。不正利用は早期発見が重要です。
2. アンチウイルスソフト の導入
個人のPCやスマートフォンにもアンチウイルスソフト
は必須です。マルウェアによる情報漏洩を防ぐため、常に最新の定義ファイルでシステムを保護しましょう。
3. VPN の活用
オンラインショッピングや重要な取引を行う際は、VPN
を使用することで通信を暗号化し、第三者による盗聴を防げます。
中小企業が実装すべきセキュリティ対策
1. アクセス権限の適切な管理
- 従業員の退職・契約終了時には即座にアカウントを無効化
- 最小権限の原則：必要最小限のアクセス権限のみ付与
- 定期的な権限見直し（四半期ごと推奨）
2. ログ監視体制の構築
- 顧客情報へのアクセスログを全て記録
- 異常なアクセスパターンの自動検知システム導入
- ログの改ざん防止措置
3. 多層防御の実装
- ネットワークレベル：ファイアウォール・IDS/IPS
- エンドポイントレベル：アンチウイルスソフト
・EDR - アプリケーションレベル：WAF・暗号化
フォレンジック調査から見えてくる教訓
早期発見の重要性
今回の事件では、不正アクセスが約1年間継続していました。私の経験では、侵害検知までの時間が長いほど被害は拡大します。
実際に対応した中小企業の事例では：
- 検知まで1ヶ月：被害額50万円程度
- 検知まで6ヶ月：被害額500万円以上
- 検知まで1年以上：会社存続の危機
証拠保全の重要性
サイバー攻撃を受けた場合、適切な証拠保全が法的措置や保険金請求において重要になります。しかし、多くの中小企業では：
- 攻撃発覚後にサーバーを再起動してしまい証拠が消失
- ログの保存期間が短く、攻撃の全容が把握できない
- フォレンジック調査の実施が遅れ、重要な証拠が失われる
今後の対策と提言
技術的対策の強化
東京ヴェルディ事件を受けて、以下の技術的対策が急務です：
- ゼロトラスト・アーキテクチャの導入：内部ネットワークでも全てのアクセスを検証
- 特権アクセス管理（PAM）：管理者権限の厳格な制御
- データ暗号化の強化：保存時・転送時の両方で暗号化
- AI/機械学習による異常検知：従来のルールベース検知では見逃される攻撃を発見
組織的対策の重要性
技術だけでなく、組織的な取り組みも不可欠です：
- セキュリティ教育の定期実施：従業員のセキュリティ意識向上
- インシデント対応計画の策定：攻撃発覚時の迅速な対応
- 第三者監査の実施：外部専門家による客観的評価
- サプライチェーン・セキュリティ：委託先・パートナー企業の管理
まとめ
東京ヴェルディで発生したクレジットカード情報漏洩事件は、内部関係者による犯行の恐ろしさを改めて浮き彫りにしました。2700件の情報漏洩、4200万円の被害という規模は、決して他人事ではありません。
個人レベルでは、アンチウイルスソフト
やVPN
の活用、利用明細の定期チェックなど基本的な対策が重要です。企業レベルでは、アクセス権限管理、ログ監視、多層防御の実装が急務となります。
サイバーセキュリティは「完璧な防御」ではなく「継続的な改善」が鍵となります。今回の事件を教訓として、自分自身と組織のセキュリティ対策を見直してみることをお勧めします。
一次情報または関連リンク
