暴かれた引き出し

あなたにとって、誰にも見せるつもりのなかった記録が、誰かの手に渡っていた。

サイバー犯罪: 日常に侵入する悪意 第 5 回

狙われるのは、特別な誰かではない。

いつもの日常に、見えない侵入口がある。公開されている情報を手がかりに、その静かな進行と、日常に現れる結果をたどります。

忘れていた場所から

そのメールを受け取ったのは、ある土曜日の夜だった。

差出人には見覚えがない。迷惑メールかと思い、削除しようとした。

しかし、件名に自分の名前が書かれていた。

本文には、以前利用していた心理療法センターのことが書かれていた。

数年前、仕事や家族のことで悩んでいたときに通っていた場所だ。

さらに、メールには、自分の個人的な情報が記載されていた。

どうして、見知らぬ相手がそんなことを知っているのだろう。

メールの送り主は、その施設から患者情報を盗み出したと主張していた。

そして、指定した期限までに金銭を支払わなければ、相談記録をインターネット上に公開すると告げていた。

最初は、悪質な脅しだと思った。

だが、書かれている内容は、誰にでも送れるような無差別の迷惑メールとは違っていた。

送り主は、自分が実際にその場所を利用していたことを知っている。

もしかすると、相談した内容まで知っているのかもしれない。

メールを閉じても、もう眠れそうになかった。

自分だけの秘密ではなかった

メールに書かれていたのは、彼女がその場所を利用していたという事実だけではなかった。相談の内容を知っているかのような言葉も含まれていた。

送り主は、彼女以外の利用者についても情報を手に入れたとほのめかしていた。

もし、それが本当なら。自分の記録だけでなく、同じ場所で相談していた人たちの情報も、誰かの手に渡っているのかもしれない。

そこに何人分の記録があり、どこまで持ち出されたのか。彼女には分からなかった。

ただ、誰にも話していなかったことが、自分の意思とは関係なく、見知らぬ人の手に渡った。その事実だけで十分だった。

情報を盗まれるというのは、パスワードや連絡先が漏れることだけではない。

自分の人生の一部を、他人に勝手に開かれてしまうようなことでもある。

何も悪いことをしていなくても

彼女は、誰かを騙したわけでも、犯罪に関わったわけでもない。

苦しいときに専門家へ相談し、助けを求めただけだった。

それなのに、そのときに話したことが、恐喝の材料に使われている。

仮にその情報が事実であっても、他人に公開してよい理由にはならない。

人には、他人に知られずに相談できる場所が必要だ。

誰にも知られたくないことがあるのは、必ずしも何か後ろめたいことをしているからではない。

家族との関係、仕事への不安、自分自身への戸惑い。

そうしたことを安心して話せる場所があるからこそ、人は助けを求められる。

ところが、その信頼が破られた。

相談先を利用したこと自体を知られたくない人もいただろう。記録の内容を知られることで、周囲との関係が変わってしまうのではないかと恐れた人もいただろう。

ここで起きたのは、単なる情報窃取ではなかった。

人が他人に知られたくないと思っている気持ちそのものが、金銭を得るための道具にされた。

実際に起きた事件

ここまでの体験談は、特定の被害者や施設の出来事を再現したものではない。公開情報から着想を得て、複数の状況を組み合わせた創作だ。

ただし、その背景には、実際に起きた事件がある。

2020 年 10 月、フィンランドの心理療法センター Vastaamo で、患者情報データベースへの不正アクセスと大量の個人情報の流出が公になった。後の技術調査では、少なくとも 2018 年 12 月と 2019 年 3 月に、データベースへの不正アクセスがあったことが確認されている。

盗まれたのは、氏名や連絡先だけではない。患者の相談記録など、極めてセンシティブな情報も含まれていた。

センターには、患者情報を公開すると脅して金銭を要求する連絡が届いた。また、患者一人ひとりにも直接メールが送られ、要求に応じなければ個人情報や相談記録を公開すると脅迫された。フィンランド警察は、センターに対する恐喝と患者個人宛てのメールの送信者が同一人物かどうかは不明としている。

患者の情報は、実際にインターネット上へ公開された。

誰が責任を負うのか

この事件では、フィンランドの警察が大規模な捜査を行った。

2021 年 6 月、フィンランド警察は、この事件の被害者に対する恐喝に関連して、25,000 件を超える犯罪被害の届出があったと公表した。警察は、実際の被害者数はさらに多いとみていた。

この 25,000 件は被害者の正確な人数ではなく、警察への届出件数だ。それでも、被害が一部の限られた人にとどまらなかったことが分かる。

また、問題は攻撃者だけにあったわけではない。

フィンランドのデータ保護当局は、Vastaamo の患者情報の安全な取り扱いや、情報漏えい発生時の報告義務に重大な不備があったと判断した。

2021 年 12 月、同センターに対して 608,000 ユーロの行政制裁金が科された。

さらに、刑事事件では、実行犯に対する裁判が進められた。

2024 年 4 月、第一審は被告人に対して 6 年 3 カ月の実刑判決を言い渡した。その後、2026 年 2 月に控訴審が刑を 6 年 11 カ月に引き上げた。同年 7 月、フィンランド最高裁判所が上告許可を認めなかったため、控訴審の判決が確定した。

しかし、被害に遭った人々のプライバシーが元に戻ったわけではない。

公開された情報を誰が保存し、誰が読んだのか。どこまで広がってしまったのか。

すべてを把握することはできない。

「大した情報ではない」という思い込み

私たちは、自分の情報が漏れたと聞いても、つい影響を小さく考えてしまうことがある。

氏名とメールアドレスくらいなら問題ない。

電話番号を知られても、変更すれば済む。

自分には、大企業が守っているような重要な機密情報もない。

しかし、情報の価値は、それ単体で決まるわけではない。

例えば、氏名と住所だけなら、それほど重大な問題に感じないかもしれない。

けれど、利用しているサービス、購入履歴、相談記録、日々の行動や人間関係に関する情報が結びつくと、そこには本人の生活が浮かび上がってくる。

そして、その情報を何に使うかは、持ち主ではなく、手に入れた相手が決めてしまう。

    氏名・住所・連絡先
            |
            +
    サービスの利用履歴
            |
            +
    相談・問い合わせ内容
            |
            v
     個人の生活や背景が
       見えてくる
            |
            v
   なりすまし・恐喝・脅迫
   人間関係への介入・悪用

ひとつひとつは些細な情報に見えても、組み合わせることで、本人にとって重大な意味を持つことがある。

小さな事業者であっても同じだ。

顧客の住所、購入履歴、問い合わせ内容、取引先との連絡記録。

それらは単なる業務データではない。誰かの生活の一部でもある。

閉めたはずの引き出し

この事件を受けて、フィンランドの警察は、恐喝メールを受け取った人たちに対して、要求に応じて支払わず、警察に届け出て、メールなどの証拠を保存するよう呼びかけた。

しかし、そうした対応をしたからといって、すでに漏えいした情報を完全に取り戻せるわけではない。

私たちは、日々さまざまなサービスに自分の情報を預けている。

買い物をする。病院を受診する。相談窓口を利用する。仕事を依頼する。

そのたびに、氏名や連絡先だけでなく、さまざまな事情を相手に伝えている。

その情報が適切に守られていることを、利用者自身が常に確認するのは難しい。

だからこそ、情報を預かる側には、それを安全に管理する責任がある。

「自分には盗まれて困る情報などない」

そう思っていた引き出しの中に、本当に何も入っていなかっただろうか。

そして、その引き出しの鍵を預けた相手は、最後まで責任を持って守ってくれるのだろうか。

参考資料

1. フィンランド警察・国家捜査局 (National Bureau of Investigation), “NBI to continue criminal investigation into exceptionally large-scale hacking of psychotherapy customer files” (2020 年 10 月 27 日公表 / 英語版 11 月 24 日公開).
   https://poliisi.fi/en/-/nbi-to-continue-criminal-investigation-into-exceptionally-large-scale-hacking-of-psychotherapy-customer-files

2. フィンランド警察, “Victims of Vastaamo hacking incident: In order to become a party in the criminal proceedings, report the crime” (2021 年 6 月 23 日).
   https://poliisi.fi/en/-/victims-of-vastaamo-hacking-incident-in-order-to-become-a-party-in-the-criminal-proceedings-report-the-crime

3. フィンランド政府・データ保護監察官事務所 (Office of the Data Protection Ombudsman), “Administrative fine imposed on psychotherapy centre Vastaamo for data protection violations” (2021 年 12 月 16 日公表 / 英語版 12 月 27 日公開).
   https://valtioneuvosto.fi/en/-/6927448/administrative-fine-imposed-on-psychotherapy-centre-vastaamo-for-data-protection-violations

4. フィンランド最高裁判所 (Korkein oikeus), “Korkein oikeus hylkäsi valituslupahakemuksen Vastaamon tietomurtoa ja sitä seuranneita kiristysrikoksia koskeneessa asiassa” (2026 年 7 月 13 日).
   https://www.korkeinoikeus.fi/ajankohtaista/tiedote-ja-uutisarkisto/korkein-oikeus-hylkasi-valituslupahakemuksen-vastaamon-tietomurtoa-ja-sita-seuranneita-kiristysrikoksia-koskeneessa-asiassa/

5. フィンランド政府, “Advice for the victims of the data leak” (2020 年 10 月 25 日公表 / 英語版 10 月 26 日公開).
   https://valtioneuvosto.fi/en/-/6927448/advice-for-the-victims-of-the-data-leak

本記事前半の彼女の体験談は、Vastaamo 事件などの公開情報をもとに、複数の事実や状況を組み合わせて構成した架空の再構成です。特定の被害者や施設で起きた経緯を再現したものではありません。後半では、参考資料に示した Vastaamo の実際の情報漏えい事件を取り上げています。なお、フィンランド警察は、センターに対する恐喝と患者個人宛ての恐喝メールの送信者が同一人物かどうかは不明としていました。