オンラインで販売される中古ストレージの42%に機密データが残存──OntrackとBlanccoの調査で判明

センシティブなデータが不適切な手に渡ることのないようにすることは、これまで何度も取り上げてきたように、極めて重要な課題です。中古販売業者が約束どおりデータを削除しているかの検証から、スマートフォン上のデータ保護のためのヒントまで、Ontrackはあらゆる個人情報の保護を現代最優先の課題の一つと捉えています。

こうした背景のもと、私たちはデータ消去およびモバイルデバイス診断における業界標準であるBlancco Technology Groupと提携し、オンラインで販売されている中古ストレージデバイスに残留データが残っているのかどうかを調査しました。

調査対象となったドライブ

米国、英国、ドイツ、フィンランドのeBayから合計159台のドライブを購入しました。対象はSamsung、Dell、Seagate、HP、Hitachiといった主要ブランドのSSDとHDDの混合です。購入時の唯一の条件は、「Blancco製品でワイプされていない」ことでした。

個人データの復元プロセス

業界をリードするソリューションと独自のデータ復旧ツールを用いて、159台すべてのドライブをイメージ化し分析し、残留データの有無を確認しました。残留データが見つかった場合には、Ontrackのエンジニアが復旧作業を行い、前オーナーの個人識別情報(PII)が含まれているかどうかを特定しました。

調査結果

その結果、42%のデバイスから機密性の高い残留データが検出され、うち15%には個人情報(PII)が含まれていました。つまり、分析した20台中最低でも3台にはPIIが残っていたことになります。

発見されたPIIの例は以下のとおりです。

• 高度な政府セキュリティクリアランスを持つソフトウェア開発者のドライブ。家族のパスポートや出生証明書のスキャン画像、履歴書、財務記録など
• 大学生のレポートおよび関連するメールアドレス
• 大手旅行会社の社内メールアーカイブ5GB分
• 貨物・物流会社のデータ3GB分。出荷明細、スケジュール、トラック登録情報などを記載した文書も含まれる
• 音楽店の企業情報。32,000枚の写真を含む
• 学校のデータ。生徒の氏名や成績が記載された写真や書類を含む

特に懸念すべき点は、ドライブを購入したすべての中古販売業者が「適切なデータサニタイズ(データ無害化)を実施済みであり、データは一切残っていない」と保証していたことです。

これは、販売業者自身がデータ削除の重要性を認識していながら、実際には明らかに不十分な方法しか用いていないという重大な問題を浮き彫りにしています。

この調査から学べること

では、この調査から何を学べるのでしょうか。ハードドライブ、スマートフォン、ノートパソコンなど、古くなったデバイスを売却するのは一見良い選択肢に思えますが、実際には自分が絶対に見せたくない相手へ個人情報を晒してしまうリスクがあります。個人情報が悪意のある者の手に渡れば、売り手本人だけでなく、家族、雇用主、友人にまで深刻な影響が及ぶ可能性があります。ここ数年、サイバー犯罪は憂慮すべき勢いで増加しており、個人のデータを守ることがかつてなく重要になっています。

さらに本調査は、正しいデータ消去手法に関する混乱があることも示しています。各販売業者はデータが完全に消去されたと明言していましたが、現実にはそうではありませんでした。現在では多種多様なデータ復旧ツールがオンラインで簡単に入手できるため、正しい消去手順を踏まなければ、サイバー犯罪者にあなたの個人情報を復元されてしまう危険性が実際に存在するのです。