インサイダー脅威の事例：3つの有名事例と4つの予防策

インサイダーの脅威とは何か？

内部脅威とは、組織内部から発生するセキュリティリスクである。脅威の主体は、必ずしも組織の現従業員や役員とは限らない。インサイダーの脅威者は、コンサルタント、元従業員、ビジネス・パートナー、役員である可能性がある。

内部脅威にはさまざまな種類があり、それぞれが標的となる組織に与える影響も異なります。この記事では、実際の内部脅威の主な事例を検証し、組織を保護するのに役立つさまざまなテクニックやテクノロジーについて説明します。

推薦図書：セキュリティ・ビッグデータ分析：過去、現在、未来

---

インサイダーの脅威の例

ウェイモ

ウェイモは自律走行車の開発を専門とする企業で、もともとはグーグルが設立した。2016年、リードエンジニアだったアンソニー・レバンドウスキーがウェイモを退社。彼はOttoと呼ばれる独自の自動運転車会社を立ち上げた。

オットーがサービスを開始してから数カ月後、ウーバーが同社を買収した。Uberが手に入れたのは主に企業秘密で、レバンドウスキーはグーグルから盗んだ。盗まれた情報のなかには、マーケティング情報やテストドライブのビデオも含まれており、その他のファイルには、機密PDF、ソースコードの断片、さらにはシミュレーション、LIDAR（Light Identification Detection and Ranging）技術、レーダーの図面や図面まで含まれていた。

調査の結果、レバンドウスキーはグーグル在職中に不満を抱いており、その行動は計画的なものであったことが判明した。2015年、レバンドウスキーはグーグルを辞めることを話し始めた。彼はまた同僚を勧誘し、自分のスタートアップで働かないかと誘った。ウーバーがオットーの買収を始めたとき、グーグル幹部は真実を知った。

レバンドウスキーが辞任する約1カ月前、彼はノートパソコンを重要なサーバーに接続していた。このサーバーにはグーグルの知的財産が保存されていた。レバンドウスキーは約14,000のファイルをダウンロードし、外付けドライブにコピーした。自分の行動の痕跡を消すため、彼はすべてを削除した。

ウェイモは2009年から2015年にかけて、技術開発に11億ドルを費やした。結局、ウェイモは企業秘密が盗まれたことを証明した。彼らは窃盗の補償として、ウーバー株2億4500万ドルを受け取った。さらにウーバーは、盗まれた企業秘密をウーバーのハードウェアとソフトウェアに使用しないことに同意した。

キャピタル・ワン

キャピタル・ワンは銀行持株会社である。彼らはまた、サードパーティ・ベンダーに起因する内部脅威にも直面していた。情報漏洩当時、キャピタル・ワンはアマゾン・ウェブ・サービス（AWS）のクラウド・サービスを利用していた。AWSの元ソフトウェア・エンジニアが発見した脆弱性を利用してCapital Oneにハッキングした。

ハッカーはウェブ・アプリケーション・ファイアウォールの設定ミスを発見し、それを使って1億人以上のキャピタル・ワン顧客の口座とクレジットカード・アプリケーションにアクセスした。結局、同社はこの脆弱性にパッチを当て、「クレジットカードの口座番号やログイン情報は漏洩していない」と発表した。

キャピタル・ワンのデータにアクセスしたハッカーは、自分の成果を自慢した。彼女はハッキングのテクニックをオンラインチャットサービスのSlackで同僚と共有した。また、実名でGitHubに情報を公開し、ソーシャルメディアで自慢した。

心理学者はこの種の内部脅威行動を「リーク」と呼んでいる。内部脅威者が自分の計画や行動を漏らすからだ。結局、ハッカーは逮捕された。彼女はコンピューター詐欺と不正使用の罪で起訴された。残念なことに、キャピタル・ワンはこの情報漏洩のコストを1億5000万ドルに達すると見積もっている。

ボーイング

ボーイング社は、最も長い内部脅威攻撃を経験したベテラン航空宇宙企業である。1979年からインサイダー脅威が摘発される2006年までの数十年間、犯人はボーイングとロックウェルから情報を盗み出した。

この場合、内部脅威者はボーイングの従業員であった。しかし、この行為者の本当の雇い主は中国の諜報機関であり、中国の宇宙事業の改善に役立つ情報を得ることを彼に課していた。

インサイダー脅威は宇宙プログラムに関するデータに加えて、軍事製造情報も盗んだ。盗難の範囲は現在も不明である。

DHS / ICE Agent Leak

In 2026, the U.S. Department of Homeland Security (DHS) experienced a major insider-related data leak involving Immigration and Customs Enforcement (ICE) personnel. A whistleblower (an internal actor with authorized access) provided sensitive data to a public website known as “ICE List.”

Impact: 

The leak exposed personal information of approximately 4,500 ICE and Border Patrol employees. The dataset included names, work email addresses, phone numbers, job titles, and other background details.

Unlike external cyberattacks, this incident is considered an insider threat because the data was deliberately disclosed by someone within the organization. By bypassing traditional security controls, the insider was able to transfer sensitive information directly to an external party.

Takeaways: 

The consequences of the leak were severe. The exposure of agent identities created significant safety risks, as it enabled harassment, impersonation, and potential targeting of law enforcement personnel and their families. DHS officials condemned the incident, emphasizing that such disclosures could endanger lives and undermine national security operations.

Navia Benefit Breach

Navia Benefit Solutions is a third-party provider of employee benefits administration services in the United States. In 2026, the company experienced a major data breach that exposed sensitive information belonging to approximately 2.7 million individuals.

The breach occurred between December 2025 and January 2026, when an unauthorized actor gained access to Navia’s systems for several weeks before being detected. During this time, the attacker was able to view and potentially exfiltrate large volumes of personal and health-related data.

Impact: 

The compromised data included highly sensitive information such as full names, dates of birth, Social Security numbers, phone numbers, email addresses, and details about health and benefits plans (e.g., FSA, HRA, and COBRA enrollment).

Although the breach was carried out by an external attacker, it is often considered an insider-related or supply-chain risk scenario because Navia acted as a trusted third-party vendor with access to employee data from over 10,000 organizations. This highlights how insider threats can also originate indirectly through vendors that have privileged access to internal systems and sensitive information.

Takeaways: 

The consequences of the breach were significant. The exposed data can be used for identity theft, fraud, and sophisticated phishing attacks, especially given the inclusion of long-term identifiers like Social Security numbers.

Aura Breach

Aura is an identity protection company that provides services such as fraud monitoring and identity theft protection. Despite operating in the cybersecurity space, Aura experienced an insider-related breach in 2026 that originated from human error.

The incident began when a threat actor targeted an Aura employee using a voice phishing (vishing) attack. Through social engineering, the attacker gained access to the employee’s account for approximately one hour. During that time, the attacker was able to extract data from an internal system.

Impact: 

The breach exposed nearly 900,000 records, including names, email addresses, phone numbers, and home addresses. Most of the data came from a marketing database that Aura had inherited through a previous acquisition.

Although highly sensitive data such as Social Security numbers, passwords, and financial information were not compromised, the incident still demonstrated how a single compromised employee account can lead to large-scale data exposure.

Takeaways: 

The Aura breach is an example of a negligent insider threat, where an employee is manipulated into granting access to attackers. It highlights how human factors—rather than technical vulnerabilities—can be the weakest link in an organization’s security posture.

---

インサイダー脅威対策

データ消去の自動化

内部脅威による攻撃を防ぐために、組織は、従業員が退職した時点で開始される自動データ消去を導入すべきである。通常、元従業員のActive Directoryは退職時に削除される。しかし、すべての組織が、従業員が自分のデバイスに保存したデータを消去することを覚えているわけではありません。

従業員は自分のデバイス上のデータを使って、組織のリソースにアクセスしたり、ビジネスクリティカルな情報や企業秘密を利用したりすることができる。このプロセスを手動で行うことは可能ですが、時間がかかるため、その間に内部脅威の攻撃が発生する可能性があります。データ消去プロセスを自動化することで、内部脅威が企業データにアクセスできないようにすることができます。

部局間協力

従業員がそれぞれの役割と責任を果たすために必要な以上の権限を与えられていないことを確認するために、組織内のさまざまな部門が協力する必要がある。人事部門、IT部門、セキュリティ部門は、組織全体の権限を評価し、決定するために定期的に会合を持つべきである。

こうすることで、従業員が退職した場合、人事はITチームとセキュリティチームに通知することができ、セキュリティチームは直ちに権限を剥奪することができる。人事部はまた、解雇、業績評価中の従業員、解雇通知を提出した従業員についてもIT部門に知らせることができる。これによりIT部門は、内部脅威となるリスクが高い、微妙な状況にある従業員を注意深く監視することができる。

監査、モニタリング、アラート

組織の可視性が高ければ高いほど、内部脅威による搾取からデータとリソースを保護するための体制が整う。継続的な監視と監査のためのプラクティスとツールを導入し、リアルタイムのアラートメカニズムを追加することで、組織は活動を監督し、それが侵害に発展する前に疑わしい行動について知ることができる。

監視システムは、ユーザーの行動を分析し、疑わしい行動を特定し、管理者に警告したり、対応プロセスを開始したりすることができる。継続的かつプロアクティブな監査は、組織がデータをどのように使用しているかを確実に把握し、リスクが拡大する前に必要に応じて変更を実施するのに役立ちます。

意識向上トレーニングの実施

すべての内部脅威が悪意を持っているわけではありません。実際、従業員の不注意や不勉強が原因で侵入される組織も多い。このような内部脅威は、悪意のある行為者に騙されることも多いが、仕向けられることなく脆弱性を作り出すこともある。

例えば、従業員が未知のソースからファイルをダウンロードすると、意図せずに脆弱性をもたらす可能性がある。すべての組織が適切なセキュリティ行動に関するポリシーを定めているわけではなく、従業員はその脅威を認識していない。

セキュリティ意識向上トレーニングを実施することで、従業員が知らず知らずのうちにインサイダーの脅威にさらされることを防ぐことができる。従業員が知識を深めれば深めるほど、組織のデータや資産を保護する能力が向上する。そして、セキュリティは文化的かつ協力的な取り組みとなり、従業員は、リスクが侵害に拡大する前に、フィッシング詐欺のような脆弱性を特定することもできるようになる。

---

Exabeamによるインサイダー脅威対策

Exabeamは、導入と利用が容易で、ガートナー社のSIEMモデル改訂に準拠した高度な機能を備えたSIEMプラットフォームです：

• Advanced Analyticsおよびフォレンジック分析-機械学習に基づく行動分析による脅威の識別、疑わしい個人を識別するためのピアおよびエンティティの動的なグループ化、および横方向の動きの検出。
• データ探索報告および保持- 最新のデータレイク・テクノロジーを活用し、セキュリティ・アナリストが必要なログをすばやく見つけられるよう、コンテキストを考慮したログ解析機能を備えています。
• 脅威ハンティング -アナリストが能動的に脅威を探し出せるようにします。ポイント・アンド・クリックの脅威ハンティング・インターフェースを提供し、SQLやNLPの処理を必要とせず、自然言語を使用してルールやクエリを構築することが可能です。
• インシデント・レスポンスとSOCの自動化 -インシデント・レスポンスへの一元的なアプローチで、何百ものツールからデータを収集し、セキュリティ・プレイブックを介して、さまざまなタイプのインシデントへの対応を編成します。Exabeamは、調査、封じ込め、緩和のワークフローを自動化します。

エクサビームのユーザー・エンティティ行動分析（UEBA）ソリューションは、組織内の異常な行動や横の動きを検出します。攻撃のタイムラインを自動的に作成するため、複数のシステムやユーザーアカウントにまたがって活動する内部関係者をより簡単かつ迅速に検出することができます。