「内部者脅威」の経済損失は平均1640万ドル——双子の元従業員による政府DB削除事件が照らす、アクセス権管理とオフボーディングの盲点

連邦政府機関向けソフトウェア提供企業Opexusから解雇された双子の兄弟が、報復として政府関連データベース96件を削除し有罪判決を受けた。この事件は、サイバーセキュリティ業界で長年指摘されてきた「内部者脅威（Insider Threat）」の典型例だ。Ponemon Instituteの調査によれば、内部者による攻撃の平均コストは企業あたり1640万ドルに達する。しかし問題の本質は、技術的な脆弱性よりも「人的リスク管理の構造的欠陥」にある。

退職後も残る「デジタルの影」——オフボーディングプロセスの盲点

今回の事件で最も注目すべきは、解雇直後に元従業員がシステムへのアクセス権を保持していた点だ。これは「オフボーディング（退職・異動時の権限剥奪プロセス）」の失敗を意味する。

多くの企業では、物理的なセキュリティカードやPCの返却は徹底されるが、デジタルアクセス権の管理は驚くほど杜撰だ。特に問題となるのが以下の3点である:

VPNアカウントの失効遅延 ― リモートワーク環境の普及により、社外からのアクセス経路が複雑化
API鍵・認証トークンの放置 ― 開発者が個人的に生成した認証情報は管理台帳に記録されないことが多い
クラウドサービスの権限継承 ― SaaS連携により、メインアカウント削除後も子サービスへのアクセスが残存

Gartnerの調査では、従業員の退職後48時間以内にすべてのアクセス権を無効化できている企業は全体の38%に過ぎない。残りの62%は、数日から数週間、場合によっては永続的に「元従業員の幽霊アカウント」を抱え続けている。

「感情的トリガー」と技術的脆弱性の危険な組み合わせ

内部者脅威の特徴は、外部からのサイバー攻撃と異なり「動機」と「機会」が同時に存在する点にある。解雇という感情的トリガーは、倫理的歯止めを外す強力な要因だ。

セキュリティ心理学の観点から見ると、報復行為には「損失回避バイアス」が働く。自分が失ったもの（職、収入、社会的地位）に見合う「対価」を相手に支払わせようとする心理メカニズムだ。この事件の双子が選んだのは、自分たちが構築・管理していた可能性の高いデータベースの削除という「自己の価値の証明と破壊」を同時に行う行為だった。

ここで重要なのは、技術的な侵入手段が高度である必要はないという点だ。彼らは恐らく、日常業務で使用していた正規の認証情報をそのまま利用した。ファイアウォールや侵入検知システム（IDS）は、「正当なユーザーによる正当な接続」を脅威とは認識しない。