札幌のHDD流出はなぜ起きた？破砕したはずが転売の裏構造

以前、当社のブログでもご紹介した、国立病院機構によるハードディスク流出事件を覚えていらっしゃる方もいるかもしれません。あのとき、破砕を依頼したはずのハードディスクがネットオークションに出回っていたという事実に、驚いた方は少なくないはずです。

そして今、その続報ともいえる出来事が起きていて、6月29日には新札幌豊和会病院から委託されたハードディスクが、患者4721人分の個人情報を含んだ状態で外部に流出していたことが明らかになりました。被害の連鎖は、まだ止まっていません。

新札幌豊和会病院でも4721人分、止まらないHDD流出の連鎖が

6月8日、国立病院機構が運営する北海道医療センターと北海道がんセンターから、患者や職員らの個人情報を含んだハードディスクが流出していたことが発表され、電子カルテのシステム更新にともなって不要になったハードディスク約750台を石狩市の廃棄物処理業者に破砕処理として委託したところ、処理されたはずのハードディスクがネットオークションに出品されていたという内容でした。流出の可能性がある人数は、最大で51万人にのぼるとされています。詳しい経緯は、HTB北海道ニュースの報道でも伝えられています。

今回新たに判明した新札幌豊和会病院のケースは、この一連の流出を受けて北海道医療センターがオークションから回収したハードディスクの中に、自院のものとみられる一台が含まれていたことから発覚しました。回収という地道な作業を続けていたからこそ見つかった、いわば芋づる式の被害といえ、患者4721人分の個人情報が含まれていたとのことで、最初の発表からおよそ3週間というスピードで新たな委託元の存在が明らかになった形です。

破砕したはずのHDDが、なぜ原型のまま転売されていたのか

委託先の業者は、破砕前後のハードディスクが同じ形の容器で管理されており、作業スペースの区分けが不十分だったと説明しています。未処理の箱と処理済みの箱が見分けにくい状態だった、ということのようです。

ただ、この説明には少し理解しがたい部分が残ります。実際にしっかりと破砕された状態のハードディスクは、原形をまったくとどめておらず、細かい破片になってしまえば、それがハードディスクだったとすら分からないほどです。容器の見た目が似ていたとしても、中に入っているものが「原形を保った一台のハードディスク」なのか「粉々になった破片」なのかは、本来であれば一目で分かるはずではないでしょうか。

つまり、原形をとどめたままオークションに出品されていたという時点で、その一台はそもそも破砕という工程を一度も通っていなかった可能性が高く、容器の混同というより、破砕という工程そのものが行われる前の段階で何かが起きていたと考えるほうが自然に思えます。

「処理前選別」という慣習が、合法のまま情報漏洩を招く

調べていく中で見えてきたのが、「処理前選別」と呼ばれる業界の慣習です。産業廃棄物として持ち込まれたハードディスクの中から、まだ部品として価値のあるもの、つまり故障しておらず動作するものを破砕する前に選り分けて抜き取り、中古品として市場に流すという手法で、これ自体は違法な行為ではないとされています。鉄くずとして砕いてしまうよりも、動く状態のまま中古部品として売ったほうが高く売れるという経済的な事情が背景にあり、委託契約書には「破砕」と書かれていても、その前段階でこうした選別がおこなわれること自体は業界では珍しくない流れのようです。

ここで見落とされがちなのが、データを消す処理の正体です。多くの場合、破砕という物理的な処理そのものが「データ消去」の手段であり、それとは別にソフトウェアでデータを上書きする工程が、あらかじめ必ず行われているとは限りません。つまり破砕という工程が一度でも飛ばされてしまえば、それはイコール、データがまったく手つかずのまま外へ出てしまうということを意味します。

今回の事件も、こうした抜け道が背景にあった可能性は十分に考えられます。最初の委託先から売却先の再資源化事業者、さらにその先の道内のリサイクル業者へと、ハードディスクは何度も持ち主を変えながら流通していました。気になるのは、その過程でどの業者も「中のデータが本当に復元できないレベルまで消えているか」を一度も確認していなかったように見える点です。ソフトウェアでの上書き消去すらおこなわれた形跡がないまま、価値ある部品として右から左へ流れていったのだとすれば、それはずさんという言葉では足りないほどの、情報管理の甘さだったと言わざるを得ません。

マニフェストに「破砕」とあっても安心できない理由

産業廃棄物を処理する際には、マニフェストと呼ばれる管理票を発行することが法律で定められており、排出した側の責任の範囲を明確にするための書類として、そこには処分方法として「破砕」と記載されることになります。

ただ、このマニフェストはあくまで契約と処理の記録であり、その場で本当に破砕されたことを確認できる写真や映像が必ず添付されるわけではなく、書類の上では「破砕済み」となっていても、実際に作業員の目の前でハードディスクが粉々になる瞬間を見届けたかどうかは、また別の話だということになります。

委託した側からすると、マニフェストが手元に届いた時点で安心してしまいがちですが、今回の事件が教えてくれているのは、紙の上の記録と現場で実際に起きていたことの間には、思っている以上の距離があり得るという現実です。札幌の医療機関という、個人情報の取り扱いに人一倍注意を払っているはずの組織でさえ、1年以上この距離に気づけませんでした。

札幌でHDDを手放す前に、今日からできる備えとは

では、個人や小さな会社が同じような被害を防ぐには、どうすればよいのでしょうか。当社はデータ消去や廃棄の代行サービスをおこなっておりませんので、ここでは知識としてお伝えできる範囲でお話しします。

個人や小さな会社の場合、ハードディスクの廃棄は宅配便や郵送で業者に送るという形が現実的で、大きな組織のように立ち会いやオンサイト作業を依頼できる場面ばかりではないと思います。そう考えると、手元を離れる前に自分でできることをしておく、という選択肢の意味が大きくなってきます。

市販されているデータ消去用のソフトを使えば、物理的な故障がない状態であれば、ソフトウェアでデータを上書きし、復元できない状態まで消し込むことができます。破砕を業者に任せるとしても、その前段階で手元のパソコンを使ってこうした消去を済ませておけば、たとえ今回のような処理前選別で原形のまま市場に出てしまったとしても、中身まで読み取られるリスクは大きく下げられます。

札幌や北海道内で、データの扱いに少しでも不安を感じている方は、当社のなんでも相談室からお気軽にお問い合わせください。データ復旧という仕事を通じて記録媒体がどれほど多くの個人情報を背負っているかを日々見てきたからこそ、今回のような事件を他人事とは思えずにいます。