Desjardins はケベック州の協同組合銀行であり、カナダ最大のクレジットユニオンです。コミュニティ所有、メンバー第一、そして大手コーポレートバンクとは一線を画すケベック特有の協同組合伝統に根ざしたことを前面に打ち出しています。

多くのケベック住民に「自分たちの銀行だから信頼できる」と教えられているこの機関ですが、2016 年 10 月から 2019 年 5 月にかけて、Desjardins の従業員である Sébastien Boulanger‑Dorval が、数百万件に上る会員・顧客の個人情報を体系的に盗み出し、ダークネットマーケットやサイバー犯罪フォーラムで販売していました。

26 ヶ月間、Desjardins がそれに気付くことはありませんでした。侵害は自社のセキュリティシステムから検知されたのではなく、警察からの通報で初めて判明しました。盗まれたデータには氏名、生年月日、社会保険番号、住所、電話番号、メールアドレス、取引履歴、銀行利用習慣などが含まれ、対象は 約 1,000 万人 に上ります。

26 ヶ月間も続いた理由

連邦プライバシー委員会の調査によると、今回の漏洩は Desjardins 内部の技術的・管理的な隙間が原因でした。悪意のある従業員は、機密会員情報が保存された共有マーケティングデータウェアハウスへアクセスできる権限を持っていましたが、そのアクセスは十分に監視されていませんでした。

26 ヶ月にわたるデータの持ち出しは、異常な活動を検知すべきセキュリティアラートを発火させませんでした。つまり、ほぼ 1,000 万人のカナダ人の個人金融データが、マーケティング部門の一社員によって コピーされ、2 年以上にわたって販売 されていたにもかかわらず、機関側は気付かなかったということです。連邦プライバシー委員会とケベック州の Commission d’accès à l’information は、Desjardins が顧客データ保護に必要な注意義務を果たさなかったと結論付けました。

外部からの高度な攻撃ではなく、内部の従業員 が標準的なアクセス権を利用しただけの事案です。

被害者が受け取ったもの

Desjardins は訴訟の和解金として 2億 9,000 万ドル を支払いました。これは当時のカナダ金融サービス史上最大の集団訴訟和解金です。請求を行った顧客は、時間的損失に対して最大 90 カナダドル を受け取りました。

身元盗用に遭った顧客は最大 1,000 カナダドル を請求できました。つまり、社会保険番号・自宅住所・銀行取引履歴・個人情報がダークネットで最大 2 年間販売された顧客に対し、身元盗用が証明できれば最大 1,000 カナダドルが支払われる仕組みです。実際に請求手続きを行ったある顧客は、SubClass 1 の請求で 88 カナダドル を受け取ったと報告しています。

その後、追加書類の提出を求められましたが、書類取得にかかる費用は 88 カナダドルの支払い額を上回ると指摘されています。2億 9,000 万ドルを 970 万人の被害者で割ると、平均約 20 カナダドル となります（法的費用は別途 Desjardins が負担）。

Desjardins の社長は当時、今回の漏洩による財務的影響は年間売上 180 億ドルの 1％未満 であり、同社は十分に吸収できる余力があると述べました。これは事実です。Desjardins にとってはそうです。

しかし、社会保険番号がダークネットで販売された顧客にとっては、吸収できる余力は全く別物でした。

メンバーを忘れた協同組合

Desjardins は協同組合構造を「企業銀行とは根本的に異なる」点として売り込んでいます。メンバーは所有者であり、機関は彼らに奉仕するために存在します。

協同組合モデルは、本来なら金融機関と資金・データを預ける人々との関係を変えるはずです。しかし、約 1,000 万人の会員に影響を及ぼした 26 ヶ月間の内部データ窃盗 を防げませんでした。従業員が会員データをコピー・販売する行為を検知できるセキュリティインフラも整っていませんでした。

また、被害者が受けた身元盗用の影響に見合う十分な補償も行われていません。協同組合モデルが生み出したのは、機関が「年間売上の 1％未満」と表現した和解金であり、社長は「十分に吸収できる」 と語りました。

データが販売されたメンバーは、全く別の代償を強いられました。

ケベックの制度的パターン

このプラットフォームは、最近数週間にわたりケベックの各機関に共通するパターンを記録しています。公共資金とメンバーの信頼が機関に流れ込み、機関はそれを利用して利用者に不利益をもたらす決定を下します。

その結果は利用者側に降りかかります。機関は財務的コストを営業利益の中で吸収し、事業を継続します。たとえば、許可証の価値が下がったタクシー運転手は控訴裁判所が認めた不十分な補償しか受けられませんでした。

過酷な労働環境で公的医療から追い出された看護師は、プレミアムエージェンシーの高額料金で代替され、慢性的な人手不足が続きます。独占的なバス供給業者に委ねられたスクールバス運転手は、バスが火災で焼失し会社が倒産しても路線はキャンセルされるだけでした。REM の利用者はバス代替手段を失い、システム停止時に公共交通が全く利用できませんでした。

Desjardins のデータが 26 ヶ月間販売された会員は 88 カナダドル と書類提出の要請を受け取りました。メンバーが所有するはずの協同組合は、最も機密性の高いデータを保護できませんでした。法的手続きで責任を問われた結果、CEO が「容易に吸収できる」と表現した金額で和解しました。

メンバーは、機関が感じなかった代償を背負ったのです。

ビジネス口座を開設する人への正直なメモ

Desjardins は、協同組合の構造、手頃な手数料、そして地域に根ざした存在感から、ケベック州の中小企業向け銀行として依然として推奨される選択肢です。今回の情報漏洩は深刻な制度的失敗であり、実際に被害をもたらしました。また、カナダ史上最大規模の金融サービスに関する集団訴訟和解を生み出し、その後のセキュリティ強化にもつながりました。

この機関が特別に悪意を持っていたわけではありません。大規模な組織がデータセキュリティで失敗するのは、世界中の多くの大企業で共通して起こり得ることです。Desjardins 事件がこのプラットフォームのケベック州機関に関する文書で特に取り上げられる理由は、機関が自らをどのようにマーケティングしていたかと、実際に提供したサービスとの間に大きなギャップがあった点にあります。そのギャップが顕在化したことで、問題が浮き彫りになったのです。

Member first.
Cooperative.
Community owned.
$88 per affected member.

SIIIOCULI — Intelligence. Sovereignty. Awareness. siiioculi.lilxbrxaker.com