昨年、私は以下の記事を書きました。
ヤフオクやメルカリで取引されている格安Office365（Microsoft365）の危険性について書いた記事なのですが、実はこの記事を書いた時、私は日本の会社の情報流出事件に巻き込まれていたので、今回はその事について書こうと思います。
Office365 Lifetime Plan
事の始まりはとあるRedditのポストでした。
「Office365のLifetime Plan（=永久プラン）を$5で売ります。」
Office365というのは、プランにもよりますが月額1000円くらいかかるサービスです。それをたった$5で一生使えると宣伝してるのです。私はOffice365の導入を仕事にしている関係もあり、非常に興味をそそられました。
「どんな仕組みでクラックしてるんだろう？」
そこで先方とコンタクトを取るとDiscordへ誘導され、更にそこからShoppyというプラットフォームに飛ばされて、最終的に$5で商品を購入しました。
商品を購入するとアカウント名とパスワードが自動で送られてきて、Office365にサインインできるようになりました。
実際にどうやって不正なOffice365アカウントを販売しているか興味がある人は、私が調べた情報を以下の記事に書いているので読んでみてください。
SharePoint Onlineによるファイル共有
実際にサインインしてみると、確かにE3と呼ばれるライセンスに相当する機能が使えることが確認できて、OfficeやOneDriveが正常に使える状態でした。
そんな中、私の目に留まったのがSharePoint Onlineのファイル一覧です。
SharePoint Onlineというのは、簡単に言うとクラウド上の共有フォルダです。OneDriveは利用者本人だけが利用する目的でファイルを保存するためのサービスとなりますが、SharePointは複数の利用者がファイルを共有する目的でファイルをアップロードして使います。
そのSharePoint Online上で見知らぬ人のアップロードしたファイルがいくつも閲覧できるようになっていました。
ん？と思って.pdfとか.docとかでSharePoint全体のファイル検索をしてみると、そこには大量のファイルが。
殆どが海外の利用者によるファイルでしたが、その中でいくつか気になる日本語のファイルが、、、調べてみると、とある一つのアカウントが、会計事務所とのやり取り文書だったり、会議の配布資料等を大量にアップロードしていました。
情報流出の原因
これはヤバいと思い、アップロードされた文書から会社名を割り出し電話することに。
詳細は伏せますが、お相手は老舗の企業で、「数日前に販社にOfficeを入れ替えてもらった」「（アップロードされていたファイルに記載のある）会計事務所や社員名に身に覚えがある」との事で、かなり驚かれていました。
SharePoint側のファイルと照らし合わせながらもう少し事情を聞くと、どうやらOneDriveの同期が動いてデスクトップにあるフォルダ/ファイル全てがSharePoint上にアップロードされているようでした。
担当の方もPCの事は詳しく分かっておられないようで、「まずは販社に確認する」「場合によっては販社の担当者から直接電話させて欲しい」と言われたので承諾。
数時間後、販社から電話がかかってきました。声や話し方から察するに、中高年の方で
「AmazonでOfficeを買って、PCにインストールした」
と言ってました。何のための販社なんだというツッコミと、本当にAmazonで買ったの？という疑惑はさて置き、本人は事の重大性を全く理解していないようで、「PCからOfficeをアンインストールすれば良いんですよね？」と軽々しく言ってきました。
私は「PCからOfficeをアンインストールしてもSharePoint上にアップロードされたファイルは消えない」「SharePoint上で消したとしても、管理者側に復元される恐れがあるので完全に消えたと安心することはできない」と伝えました。
結局その人はその場で判断ができず、一旦通話は終了しました。
その後の対応
その後、相手の会社の人から連絡が入りました。販社の人よりよっぽどご理解のある方で、結局以下のような対応を実施しました。
- PCからOfficeをアンインストール（販社）
- SharePointからファイルを削除（私）
- SharePointのごみ箱からファイルを削除（私）
- MSへの通報（私）
SharePointには「(第 2 段階の) ごみ箱」が存在するため、ごみ箱からファイルを削除しても365のテナント管理者はファイルを復元できます。そのためMSへ通報し、テナントごと削除もらえないかと考えたのですが、本日時点で問題のテナントは動いているので特に何も対応してもらえなかったんだと思います。
会社の担当の方も「まさかうちの会社が情報流出の被害にあうとは思っていなかった」と驚かれておりました。
どうすれば防げる？
ではどうすればこういう事態が防げるのでしょうか。
当然ですが、まず個人の場合、ケチらずに正規品を購入しましょう。Amazonならちょっとお得に購入できます。
企業の方は、ITに関してはきちんと本業の会社（大手SIerを始めとするITインフラ導入企業）にお願いするようにしましょう。
個人であれ企業であれ、こういうところでケチるといつかとんでもない目に遭いますよ！
最後に
情報流出インシデントなんか起こしたらワンチャン人生詰みます。本当に気を付けてください。
コメント
貴重な情報ありがとうございます。ヤフオクのOffice365も同類だと思いますが、これらの場合、Onedrive及びSharePointによる情報漏洩は自動的に起こるものでしょうか？つまり下記が考えられます。①漏洩は自動的に(デフォルトで)起こる②自分でうっかり設定を変更すると漏洩する③管理者(販売者)がその権限で強制的に設定を変えられるのでいつでも漏洩する。特に③は時限爆弾のようなものなのでいつ管理者が操作するかわからないので絶対使わないほうがいいですね。
OneDriveを使った場合→③
SharePointを使った場合→③だが、購入したライセンスに紐付いたテナントの設定によっては①や②も起こり得る
という感じです。