本記事は、守秘義務に配慮して組織構成・発覚経緯などを再構成しています。
概要
IT系サービス企業において、複数の退職者が顧客情報や業務資料を持ち出した可能性が浮上しました。
発覚の端緒となったのは、退職後に別の立場で顧客へ同種のサービスを提供する際に使用された資料でした。顧客から「以前の資料をそのまま使っているのではないか」と疑問が寄せられ、確認したところ、ファイルのメタ情報などに元の企業との関連を示す情報が残っていました。
そこで、関係者が使用していたPC、業務用メール、ファイルサーバーなどを対象にデジタルフォレンジック調査を実施し、情報の作成・利用・提供に関する痕跡を時系列で整理しました。
課題
当初確認できていたのは、一部の資料とメタ情報など断片的な情報だけでした。
そのため、
- どの情報が持ち出された可能性があるのか
- いつ作成・更新・利用されたのか
- 複数の関係者がどのように関与していた可能性があるのか
を、推測ではなくデジタルデータから確認する必要がありました。
また、調査を始めることで元のデータを変更してしまわないよう、証拠となり得るデータを適切に保全することも重要でした。
アプローチ
まず、調査対象となるデジタルデータを原本へ影響を与えにくい方法で保全しました。必要に応じてデュプリケータを使用し、記憶媒体の複製を取得したうえで解析を行います。
PC内では、保存されているファイルや操作履歴を確認するとともに、削除されたファイルについても復元可能性を確認しました。
業務用メールについては、関係する名称や用語などをキーワードとして検索し、メールの送受信履歴や添付ファイルを確認しました。
さらに、ファイルの作成者、作成日時、更新日時などのメタ情報を確認し、PC、メール、ファイルサーバーに残された記録と突き合わせました。
一つひとつでは決定的とはいえない情報でも、複数の記録を時系列で並べることで、在籍中の業務情報が社外で利用されたことを示す痕跡や、外部への情報提供を疑わせる記録を整理することができました。
成果
調査により、断片的だったデジタル情報を時系列で整理し、情報持ち出しの可能性を検討するための客観的な材料を確保しました。
確認した事実とその根拠はフォレンジック調査報告書として整理し、依頼者が社内対応や相手方との交渉、法的対応の要否を検討するための判断材料として提供しました。
重要なのは、特定のファイルを一つ発見することではありません。
複数の情報源を確認し、「いつ、誰が、どの情報をどのように扱った可能性があるのか」を関連付け、第三者にも説明できる形に整理することがデジタルフォレンジック調査の重要な役割です。
現在のフォレンジック調査では削除ファイルの復元だけに頼らない
削除ファイルの復元は現在でも調査手法の一つですが、必ず復元できるわけではありません。
現在のPCでは、ストレージ暗号化やSSDのTRIMなどにより、削除データの復元が困難な場合があります。復元の可否は、記憶媒体の種類、暗号化状態、削除後の利用状況、調査開始までの時間などによって変わります。
そのため現在の内部不正調査では、端末だけでなく、メール、クラウドサービス、ファイルサーバー、認証記録、各種ログなど、複数の情報源から事実関係を確認することが重要です。
なお、クラウドサービス、EDR、SIEMなどは現在一般的に検討される調査対象の例であり、本事例でこれらを調査したことを示すものではありません。