誰が（データ）監視企業を監視するのか？イタリア・イコライズ事件の教訓

　イタリアは最近、深刻なデータプライバシー侵害による大規模なスキャンダルに揺れている。捜査は続いているが、本事件を通じて、日本を含む他国が自国のデータセキュリティ対策の見直しにあたって考慮すべき重要な教訓がすでに浮き彫りになっている。

イコライズ社とその犯罪容疑

　本事件の渦中にあるのがミラノに拠点を置く民間情報会社イコライズ社である。同社はイタリア北部における組織犯罪対応で輝かしいキャリアを築いた元警察官カルミネ・ガッロ[1]と、（イタリア有数の展示会主催者である）フィエラ・ミラノ社の元CEOで、起業家としてこれまでに名誉ある役職を歴任し、政界にも人脈があるエンリコ・パッツァーリが率いている[2]。書類上は、イコライズ社は他の調査会社と同様の事業を行っていた。すなわち、個人・法人顧客向けに企業や個人を調査して背景情報・非公開情報を突き止め、潜在的なビジネスリスクを評価するというものである。イタリアでは、このような民間による調査業務は合法ではあるものの、厳しく規制されている[3]。例えば、個人宅内での情報収集や、保護されたコンピューターに対する不法なアクセスによる情報収集は禁じられている[4]。イタリアのデータプライバシー規制は他の欧州諸国ほど厳格ではないが[5]、世界で最も厳しいプライバシー法制とされることが多い欧州連合の一般データ保護規則におおむね準拠している[6]。

　しかし、イコライズ社はこれらの規制を無視してきたとされる。報道によれば、少なくとも2022年10月から[7]、イコライズ社は全国社会保障機構、歳入庁[8]、内務省全国住民登録制度[9]などイタリアの公的行政機関や政府機関が運営する複数のデータベースにアクセスしてきた。また、イコライズ社は「省庁間捜査システム（イタリア語：Sistema d’Indagine（SDI））」にもアクセスしたとされている[10]。このデータベースは法執行部局間で共有されており、容疑、容疑者、旅券等に関する記録が掲載されているほか[11]、全国陸運事務所など他省庁のデータベースとも連携している[12]。イコライズ社は、イタリア銀行の「疑わしい取引の届出」（違法行為に関連している可能性のある取引について、金融機関に報告を義務づけたもの）にもアクセスしたとされている[13]。（約15テラバイトに及ぶとされる[14]）これらのデータは、イコライズ社のほか、同社と共謀した少なくとも5社が[15]違法な文書を作成したり、顧客の依頼に応じたりするために利用したという。こうした書類の用途としては、恐喝や脅迫[16]、公的機関による決定への影響力行使、捜査・裁判の操作[17]、調査報道ジャーナリストへのリーク[18]などが考えられる。

イタリア国内外の関係者

　イコライズ社の顧客リストの全体像は調査中であるが、現在のところ被告にはルックスオティカ（大手眼鏡製造・販売会社）、バリラ（大手パスタ製造会社）などの一流企業の関係者が含まれている[19]。また、組織犯罪や情報機関との関連も疑われている[20]。報道では海外の顧客の存在も示唆されており、例えばイスラエルのモサドの諜報員がイコライズ社の支援を受けてロシア国内の主体を監視し、バチカンの連絡員に情報を共有しようとしたという[21]。顧客の依頼は個人的な動機や企業内部的な動機によるものが多いものの、顧客名簿からはイコライズ社の影響力がうかがえる。

　被害者とされる人々も同様に著名人揃いで、イタリアの有名人、ジャーナリスト、地元の政治家、業界トップ企業[22]のほか、イタリアのセルジョ・マッタレッラ大統領（メールアドレスが漏えい・複製されたとされる）、イニャツィオ・ラ＝ルッサ上院議長、マッテオ・レンツィ元首相などが含まれる[23]。

イコライズ社がデータにアクセスできた経緯

　機密データへのアクセスは、ITコンサルタントのヌンツィオ・カラムッチによって可能になったとされる。同氏は、窃取したデータを収集し、出所を明らかにしかねないメタデータなどの識別情報を消去した上[24]で顧客に配布するシステムである「Beyond」プラットフォームのチームを率いていた[25]。

　警察によると、手口の一つとして、内務省ネットワークに接続された端末にインストールされていたリモートアクセス型トロイの木馬（RAT）が利用されていた。RATは、コンピューターの遠隔操作、データの窃取、キーロギング、ユーザーの監視を可能にするマルウェアである[26]。被害者に気付かれないうちに被害者のコンピューターに監視ソフトをインストールした事例もあった[27]。

　腐敗した内部関係者[28]が標的システムにRATをインストールしたとみられる一方で、複数の警察官が高度に制限された[29]SDIにイコライズ社に代わって[30]アクセスした疑いがある。
ガッロが警察で省庁間協力の経験があったこと[31]や、カラムッチがデータベース設計者やデータベース所有者との職業上のつながりがあったことも[32]アクセスを容易にし、イコライズ社が不正アクセスの警告を表示させずにデータの複製を入手できた可能性がある[33]。また、専門家はルールを安全対策ではなく取るに足らない妨げとして扱うような緩んだセキュリティ文化についても指摘している[34]。

初めての事例ではない

　イコライズ事件は最近、ローマに拠点を置く同様の秘密民間調査会社「スクアドラ・フィオレ」への捜査と併せて行われるようになっている[35]。さらに、2024年には他にも類似の事件が明るみに出た。9月には、イタリア財務警察のパスクアーレ・ストリアーノ警察中尉が、数千件の財務記録を違法に入手し、ジャーナリストに渡していたとして起訴された。中尉は「疑わしい取引の届出」の捜査では通常の行為であると弁明したが、検察側はダウンロード量（最大で1日あたり1万ファイル）を踏まえると通常とはいえないと主張した[36]。10月には、元銀行員のヴィンチェンツォ・コヴィエッロが数千人の重要顧客の口座情報に違法にアクセスしたとして起訴された。当局は、個人的な好奇心から行われたと思われるアクセスが、数カ月にわたって阻止されずに続いてきたことを懸念している[37]。

教訓

　イコライズ事件はイタリア独自の背景の影響を受けているものの、日本を含む他国のデータセキュリティに関して貴重な教訓となっている。

　一つ目の教訓は、「誰が見張り番を見張るのか」という古くからの問題である。イタリアでは、法執行部門を含め、機微なデータの保護を所管する当局が機能不全に陥っていたか、腐敗していたか、あるいは警告を単に面倒なものとして無視していたようである。強固な抑制と均衡を確保することは、機微なデータを扱う者たちの倫理基準を維持するために不可欠である。イタリアの情報機関はより厳格なアクセス管理・システム設計ガイドラインを発行したが[38]、他国は同様のスキャンダルを回避するために未然に措置を講じ、見張り番が道を踏み外した場合に備えてフェイルセーフの設計を検討すべきである。

　もう一つの教訓は、機微なデータの共有に関するものである。日本をはじめとする各国が「信頼性のある自由なデータ流通（DFFT）」などの取り組みを支持し、国際的なデータの共有や連携を推進しようとしているが[39]、今回のような事件は、越境データに信頼性を求める際に、国内で強固なデータ保護措置が必要であることを浮き彫りにしている。個人情報についていえば、日本では個人情報保護法がデータ主体の権利や事業者の義務を規定している[40]。しかし、同法の実施メカニズムは事業者のデータセキュリティ向上を効果的に促進するには弱すぎるとの批判があり[41]、同法強化の改正案が提示されているものの、依然検討段階にある[42]。セキュリティ対策と違反に対する適切な対応を確立することは、信頼性のあるデータ共有のグローバル枠組みを構築する上で重要である。国内に強固な基盤がなければ、DFFTなどの取り組みの信頼性や安全性が損なわれるおそれがあるからだ。

　最後の教訓は、いわゆる「回転ドア（政府機関などの公共部門と、民間部門、特に関係産業との間で職を行き来すること）」のリスクに関するものである。こうした慣行は、採用企業にとって、人脈づくりの可能性の拡大、ロビー能力の強化、政府資金へのアクセス向上などの利益をもたらす[43]。さらに、「回転ドア」は、サイバーセキュリティなどの専門分野では、専門家の需要が高まる一方で供給が限られていることを踏まえれば、ほぼ不可避であるように思われる。また、民間部門で働いた後に公共部門に戻ることで、経験やスキルの多角化につながる[44]。しかし、こうした現象は利益相反[45]や、サイバーセキュリティでは、機微な情報の自発的・非自発的な移転といった懸念が生じるおそれがある[46]。したがって、リスク軽減と柔軟性の両立を図るルールを策定しなければならない。こうしたルールは現地の事情や法律に左右されるものの、例えば、官民を行き来する人材を対象に転職期間や顧客アクセスを制限することや、離職時のデータ管理を厳格に行うことが挙げられる。イタリアには「回転ドア」に対する規制がなく[47]、このことがイコライズ社の違反疑惑の一因となった可能性がある。日本は2000年代に同様の慣行である天下り（退職した高級官僚がかつて監督対象だった民間産業で優先的に雇用されること）を規制する法律を制定したことを踏まえれば、日本はこれに比べて体制が整っているはずである[48]。しかし、サイバー分野の専門家不足が「回転ドア」の環境につながることは避けられないため、機微なデータの不正使用を防ぐための適切かつタイムリーな監視が必要である。

　結論として、各国のデータプライバシーへのアプローチは柔軟性と監視の両立を図らなければならず、イコライズ事件のような事例は、規制強化と違反防止の方法を知る一助になるだろう。

(2025/05/07)