【IT】タイ政府　相次ぐ情報漏えいを受け多要素認証の義務化を本格的に検討

タイ政府は、政府機関からの相次ぐ情報漏えいを受け、サイバー防御体制の強化に乗り出す。少なくとも20の政府機関で機密性の高い情報が流出したことが判明しており、デジタル経済社会省(DES)は、多要素認証(MFA)の導入とパスワードの一斉変更を内閣に諮る方針だ。

DESのチャイチャノック大臣によると、各機関はシステムのパスワードを速やかに変更し、流出済みの認証情報を悪用したアクセスを防ぐ必要があるという。あわせて、個人情報保護法(PDPA)の順守も改めて求められ、対策を怠った機関には法的な罰則が科される見通しだ。

今回の情報流出は、外部からの直接的なサイバー攻撃ではなく、犯罪者がダークウェブの闇市場で過去に盗まれたユーザー名やパスワードを購入し、悪用したことが原因とみられている。有効な認証情報さえあれば、API(アプリケーション連携の仕組み)を通じてシステムに侵入し、基幹インフラを突破することなく情報を抜き取ることが可能になるため、認証を多層化するMFAの導入が急務とされる。

DESは、盗まれた認証情報を売買する闇市場を取り締まるため、国際的な協力も求めていく考えだ。チャイチャノック大臣は、こうした情報売買を「国境を越えた犯罪」と位置づけている。なお、同氏を含む複数の閣僚の個人情報も流出しており、所属政党の法務チームが警察に被害届を提出する予定だ。捜査当局はすでにログファイルとIPアドレスを入手し、関連サーバーを押収したほか、情報を最初に投稿した人物の電話番号も特定しているという。

タイでは行政のデジタル化が急速に進む一方、情報管理体制の整備が追いついていないとの指摘が根強い。日系企業にとっても、行政システムとの連携や個人情報の取り扱いをめぐるリスク管理は、今後一段と重要性を増すことになる。