バンク・オブ・アメリカとEYに250万ドルの制裁：MOVEitハッキングで露呈した、データ保護のお粗末さ

金融業界に衝撃が走った。世界的な監査法人EYと米大手銀行バンク・オブ・アメリカ（BoA）が、顧客データを最悪の形で流出させたMOVEitハッキング事件において、不十分なセキュリティ体制が原因で合計250万ドル（約3億7500万円）の制裁金を科されたのだ。多くの人がこの額を「笑止千万」と評す一方で、疑問は残る。「誰が私たち顧客を守ってくれるのか？」
---
MOVEit：デジタル世界の時限爆弾
自分の財布を盗まれるだけでなく、自らの「アイデンティティそのもの」が奪われる――。2023年5月、MOVEitハッキングの被害者たちはそんな絶望的な感覚を味わった。MOVEitは、安全なデータ転送を謳うソフトウェアだった。しかし、ハッカーたちはこのソフトウェアの脆弱性を突き、一般的なメールや請求書のデータだけでなく、社会保障番号、銀行口座情報、個人情報のすべてを危険に晒したのだ。
そして被害者たち――その中には、EYとバンク・オブ・アメリカの顧客も含まれていた。両社はMOVEitを利用していたにもかかわらず、システムの脆弱性を軽視し、肝心の時に対策を怠った。
---
なぜ、データ保護は常に失敗するのか？
EYはバンク・オブ・アメリカの監査を担っていたにもかかわらず、MOVEitのリスクを十分に評価していなかったと非難されている。だが、これは氷山の一角に過ぎない。BoA自体、大手銀行としてセキュリティ対策を講じていたものの、そのレベルは明らかに不十分だったのだ。
専門家たちは嘆く。多くの企業が古いシステムに依存し、パッチの適用を遅らせ、警告サインを無視し続けている。 MOVEitハッキングは防ぐことができたはずだった。早期のセキュリティパッチ、より強固なファイアウォール、そして少しの警戒心――それだけで、何百万人もの人々が今日なお続くID窃盗の被害から救われただろう。
---
250万ドルの罰金



：企業にとっての「痛み分け」それとも顧客への侮辱？
EYとバンク・オブ・アメリカにとって、250万ドルの罰金は「迷惑だが、どうにかなるレベル」だろう。しかし、被害を受けた顧客にとっては、皮肉でしかない。補償もなければ、償いもない。ただ、企業側から「今後は万全を尽くす」というお題目のような言葉だけが残される。――聞こえ覚えのある話ではないか？
金融業界では、こんな「取引」が日常茶飯事だ。企業は罰金を払い、従来通りのビジネスを続け、顧客がコストを負担する。そんな中、一つはっきりさせておこう。
データ保護は贅沢ではなく、基本的な義務である。
銀行や監査法人が標準的なソフトウェアの脆弱性すら看過するのであれば、我々顧客はどうやって安心すればいいのだろうか？
---
当局の遅すぎる対応と、真の責任の所在
当局が最終的に動くまでに1年以上を要した。その間、犯罪者たちは平然とデータを盗み、悪用し続けた。なぜだろうか？
- 規制当局が手に負えないのか？
- 企業が逃げ切る時間を与えられ続けたのか？
- それとも、司法システムがあまりにも遅いのか？
いずれにせよ、この遅れが招いたのは現実の被害だ。私たち一人ひとりにとっての、確実な影響。
---
この失敗から学ぶ唯一の教訓：私たちが強く求めなければならないこと
この事件は単なる「不幸な事故」ではない。それは警鐘だ。
金融業界だけでなく、政治や立法当局もようやく気づくべき時だ。データ保護はマーケティングの文句ではなく、生きた義務であることを。
そのためには：
- 厳格な監査
- 高額な罰則
- ゼロ・トレランスの姿勢
が必要不可欠だ。
なぜなら、一つだけ明確な事実があるからだ。
次の大規模ハッキングは必ず来る。
問題は、我々が今回、より良く準備できるかどうか――それとも、再び「企業が義務を怠り、そのツケを顧客が払う」という構図に甘んじるのか、それだけだ。