内部関係者による海外VPNサービスを悪用した不正アクセスについてまとめてみた

2023年7月6日、警視庁は、東京のIT企業に勤めていた男を不正アクセス禁止法違反などの容疑で逮捕したことを公表しました。男はVPNサービスを使って不正アクセスを行っていたことが報じられています。ここでは関連する情報をまとめます。

逮捕容疑は、私電磁的記録不正作出・同供用および不正アクセス禁止法違反。2022年9月から2023年1月にかけて、ビジネスチャットアプリの開発者権限を使用し、上司や同僚19人のパスワードを57回にわたり勝手に変更、その後不正にログインした疑い。
不正ログイン後、男は社員の悪口を上司や同僚になりすましてグループチャットに投稿したり、社内の誰もが読めるよう社員同士の個別チャットのやり取りの設定を変更していたほか、チャットで投稿された内容の改ざんをしていたとみられている。*1 *2 *3
男は容疑を否認しているが、社内では男は人間関係のトラブルをかかえていたと報じられている。*4
男は不正ログインを行ったビジネスチャットアプリの開発にかかわっており、当時はシステムエンジニアとして都内のIT会社に勤めていた。また外販していたビジネスチャットアプリは社内でも利用しており、男は開発者であったことからパスワード変更などが可能な権限を保有していた。
不正ログインを行っていた際、男は海外のVPNサービスを利用していたが、社内調査のログ解析から男の関与が浮上した。利用していたVPNサービスは接続記録などログを残さないいわゆる「ノーログVPN」だった。*5

不正アクセス被害にあったIT企業は、男の逮捕を受けたリリースを出している。現時点で当該企業が把握している範囲において、顧客や取引先の個人情報やその他関係するデータの流出は確認していないと説明。

日時	出来事
2022年9月～2023年1月	男がビジネスチャットアプリに対し不正アクセスなどを行った疑い。
2023年2月	IT企業が男を解雇処分。
2023年7月5日	警視庁が男を不正アクセス禁止法違反などの容疑で逮捕。