石油大手 Shell で ID 窃盗、事態進展は注意深い被害者のおかげ

米国テキサス州の労働環境を監督し、雇用促進サービスを提供する州機関 Texas Workforce Commission (TWC) は、石油大手 Shell の従業員から社会保障番号が盗まれたとの連絡を受けて調査に着手し、それが容疑者の発見につながった。

容疑者は、Shell から業務を請け負い、テキサス州ヒューストンにある同社施設でデータのインデックス化を行なっていた IT 業務請負業者の従業員で、Shell の従業員4人の社会保障番号を盗んだ罪で告発された。盗んだ社会保障番号は、虚偽の失業手当を請求するのに使用したという。

今回の ID 窃盗は、データのセキュリティについて言えば、内部の者によって脅威がもたらされる可能性があることを示す最新の事例だ。データの安全性は、セキュリティ企業およびその顧客企業の双方にとって、ますます注意を要する分野になっている。しかし関係者は、Shell の事例もそうだったが、窃盗を最初に発見するのは、たいてい犠牲者の1人だと語る。

TWC の広報担当 Ann Hatchitt 氏によると、「Shell の Shell Trading 部門で働く女性から、当機関の詐欺通報ホットラインに電話がかかってきた」という。

「われわれは、7月10日に詐欺通報ホットラインからその情報を受けて、調査を開始するとともに、われわれが状況に疑いを持っていることを Shell に通知した」と、Hatchitt 氏は取材に応えて述べた。

TWC は失業保険の請求を受ける際、必ず該当の人物に連絡を取り、いつ会社を辞めたのか確認する。

今回の事例では、Shell が自社の記録を調べた際に、「電話をかけてきた人物がまだ会社で働いていることが判明し、どうしてそのようなことが起きたのか、Shell が調査を開始した」と、Hatchitt 氏は述べている。Shell はその後、ほかにも被害者がいたことを発見し、「数か月にわたって、(失業保険) 申請があるたびに TWC に通知してきた」という。

失業手当の初回給付申請は、5月11日から9月21日の間に提出されたことが一連の調査で分かっており、それは4人の被害者の社会保障番号を使った虚偽の申請だった、と Hatchitt 氏は語った。

同氏によると、TWC はハリス郡保安官事務所および Shell と協力して、本件の調査を行なっているという。

なお、Shell が従業員に対して問題が起きていることを内部文書で通知したのは、最初に ID 窃盗が判明してからかなり時間が経った10月3日のことだった。こうした通達の遅れについて、Shell の広報担当 Robin Lebovitz 氏は、同社が内部調査を行なっていたこと、TWC およびハリス郡保安官事務所の調査官と連絡を取りあっていたこと、そしてハリケーン『Ike』対策に追われていたことを理由に挙げた。