ソニー PSN 情報漏洩事件（2011年）

1. 事件の概要

2011年4月、ソニーが運営するゲーム向けオンラインサービス「プレイステーション・ネットワーク（PSN）」などが外部から不正アクセスを受け、約7,700万アカウントという、当時史上最大級の個人情報漏洩が発生しました。氏名・住所・メールアドレス・生年月日・ログインIDやパスワードなどが流出し、クレジットカード情報についても流出の可能性が指摘されました。

被害の発覚を受けてソニーはサービスを停止し、復旧・対策に時間を要したため、PSN等は世界的に約3週間にわたり利用できない状態が続きました。世界中の利用者に影響が及び、大規模オンラインサービスのセキュリティと、事故後の対応のあり方が厳しく問われた事件です。

2. 被害の内容と規模

流出した可能性のある情報は約7,700万アカウント分にのぼり、氏名・住所・メール・生年月日・ログイン情報など、利用者を特定し悪用しうる情報が広く含まれていました。

主な影響

• PSN等のサービスが約3週間停止し、世界中の利用者が利用できなくなった。
• 流出情報を悪用したなりすまし・フィッシング・不正ログインへの警戒が必要になった。
• 各国の当局による調査、利用者への補償・お詫び対応が行われた。
• 大規模サービスにおけるセキュリティ投資と事故対応の重要性が、業界全体に共有された。

3. 原因と手口

• 外部からの不正アクセス：サーバーやアプリケーションの弱点（脆弱性）を突かれ、システムに侵入された。
• 大量の個人情報の集約：巨大サービスに大量の個人情報が集まっており、一度破られると被害が極めて大きくなる構造だった。
• 守りと監視の課題：侵入を防ぐ・早期に検知する仕組みが、攻撃の高度化に対して十分でなかったと指摘された。
• 情報の保護方法：重要情報の暗号化など、「破られても中身を守る」備えの観点でも課題が議論された。

4. 対策と教訓

会員サービス・ECサイト・アプリなどで利用者情報を預かる事業者にとって、規模は違えど本質は同じです。

サービス提供側の対策

• システムの脆弱性をふさぐ：サーバー・アプリを最新に保ち、定期的にセキュリティ診断を受ける。
• パスワードは安全に保管する：そのまま（平文）ではなく、ハッシュ化など破られても悪用されにくい形で保存する。
• 多要素認証を提供する：パスワードが漏れても、不正ログインを防ぎやすくする。
• 集める情報を最小限にする：不要な個人情報は集めない・持たない。持つほどリスクは増える。
• 侵入を早く検知し、対応手順を準備する：事故は「起きる前提」で、通知・公表・復旧の段取りを決めておく。

利用者側の対策

• パスワードを使い回さない：1サービスの漏洩を、他サービスに波及させない。
• 多要素認証を設定する。
• 漏洩の通知が来たら、速やかにパスワードを変更する。

5. まとめ

ソニーPSNの事件は、大量のアカウントを預かる大規模サービスが破られたときの被害の大きさと、事故後対応の重要性を示しました。教訓は——脆弱性をふさぎ、パスワードを安全に保管し、集める情報を最小限にし、破られても被害を抑えること。そして利用者はパスワードを使い回さないこと。提供側・利用側の双方に普遍的な学びを残しました。