NTTマーケティングアクトProCXに個人情報保護委員会が行政上の対応（2024年1月24日公表）

公表内容の整理

「発生日」「発覚日」は公表資料に書かれた日付です。「初回公表日」は当サイトが確かめた最も早い公表の日で、このページの掲載日・更新日とは別です。書かれていないものは「不明」としています。 「原因」「対象となった情報」は、公表資料にその語が書かれているかどうかを当サイトが整理したものです。当サイトが原因を判断したものではありません。

経過（公表資料に記載された日付）

1. 2024年1月24日個人情報保護委員会が行政上の対応を公表
2. 2024年9月11日個人情報保護委員会が行政上の対応を公表

公表資料に書かれた日付と出来事を、当サイトが決まった言葉で整理したものです。日付の書かれていない出来事は載せていません。

出典（公表資料）

• 2024年1月24日 個人情報保護委員会 株式会社NTTマーケティングアクトProCX及びNTTビジネスソリューションズ株式会社に対する個人情報の保護に関する法律に基づく行政上の対応について（令和６年１月24日）
• 2024年9月11日 個人情報保護委員会 株式会社NTTマーケティングアクトProCX等における不正持ち出し事案に対する個人情報の保護に関する法律に基づく行政上の対応について（令和６年９月11日）

この手口について：内部不正

従業員や委託先の従業員が、業務で使える権限を悪用して個人情報を持ち出し、名簿業者などに渡す事故です。外部からの攻撃と違い、正しい ID で正しくログインしているため、気づくまでに長い時間がかかることがあります。

公表資料には VPN に関する記載があります。VPN 機器は社外から社内へ入る入口のため、修正プログラムの適用と多要素認証が特に重要とされています。

公表資料には委託先に関する記載があります。委託先での事故でも、個人情報の取扱いを委託した組織には、委託先を監督する義務があります。

公表資料には情報の持ち出しに関する記載があります。アクセス権を業務に必要な範囲に絞り、書き出しを記録することが一般的な対策です。

内部不正による情報の持ち出しとは（解説）

一般的な解説です。この事案の組織の対応を評価するものではありません。