ダイソー1万件個人情報漏洩事件から学ぶ、企業のクラウド設定ミスの恐ろしさと個人でできる対策

こんにちは。フォレンジックアナリストとして日々サイバーセキュリティの現場に携わっている私ですが、今回のダイソーの個人情報漏洩事件は本当に背筋が凍る思いです。

2025年6月18日、100円ショップ大手のダイソーが、なんと1万307件もの個人情報が漏洩した可能性があると発表しました。しかも、その原因がGoogleグループの設定ミスで、約5年間もの長期間にわたってインターネット上で誰でも閲覧可能な状態だったというのです。

事件の詳細：設定一つでこんなことに…

今回の事件で漏洩した可能性がある情報は以下の通りです：

漏洩した情報の内容も深刻で、氏名、住所、電話番号、メールアドレスはもちろん、口座情報や健康保険証の情報まで含まれていました。

特に驚くべきは、2019年12月9日から2025年4月26日まで、実に約5年4ヶ月間もの間、57のGoogleグループが「公開」設定のままになっていたことです。

私がこれまで扱った事案でも、クラウドサービスの設定ミスによる情報漏洩は非常に多いです。特に以下のようなケースをよく見かけます：

ケース1：中小企業のAWSバケット設定ミス
ある製造業の中小企業では、顧客データを保存していたAmazonのS3バケットが誤って「パブリック」設定になっており、約3万件の顧客情報が2年間インターネット上に晒されていました。

ケース2：スタートアップ企業のGoogle Drive事故
急成長中のIT企業で、社員が作成したGoogle Driveフォルダを「リンクを知っている全員」に設定し、機密の財務情報や従業員の個人情報が流出。競合他社にも情報が渡ってしまいました。

現役CSIRTの立場から分析すると、今回のような事故の根本原因は以下の通りです：

特にGoogleグループのような便利なサービスは、設定一つで大きな被害につながる可能性があります。

企業側の対策も重要ですが、私たち個人も自分の情報を守るための対策を講じる必要があります。

オンラインサービスを利用する際は、本当に必要な情報のみを提供しましょう。特に口座情報や健康情報などの機密性の高い情報は慎重に。

万が一個人情報が漏洩し、詐欺メールやフィッシングサイトの標的になった場合、アンチウイルスソフトが重要な防御手段となります。特に最新のものは、フィッシングサイトの検知精度が格段に向上しています。

公共のWi-Fiを使用する際や、個人情報を含むやり取りをする際は、VPN の使用を強くお勧めします。通信が暗号化されることで、仮に情報が傍受されても内容を読み取られるリスクを大幅に軽減できます。

複数のサービスで同じパスワードを使い回さず、サービスごとに異なる強力なパスワードを設定しましょう。

今回のダイソーの事件では、現時点で二次被害は確認されていないとのことですが、個人情報保護委員会への報告も行われており、今後の対応が注目されます。

企業に対しては以下の対策を強く求めたいと思います：

今回のダイソーの事件は、どれだけ大きな企業でも、ちょっとした設定ミスが大きな被害につながる可能性があることを改めて示しました。企業のセキュリティ対策の向上を求めると同時に、私たち個人も自分の情報を守るための対策を講じることが重要です。

特に、アンチウイルスソフトやVPN などのセキュリティツールは、もはや「あったらいいな」ではなく「必須」の時代になっています。今回のような事件を受けて、改めて自分のセキュリティ対策を見直してみることをお勧めします。