豪Origin Energyの90万人流出、経路はマニラのコールセンター

公開 2026.09.01BPOAI

KEY POINTS

ニュースの要点: オーストラリアのOrigin Energyで約90万人の顧客情報が閲覧された事件の経路が、マニラのコールセンターまでたどられた。捜査はコールセンター業務を請け負うAccentureのマニラ拠点の元従業員に結びついており、約60人は銀行口座番号そのものが抜かれている。
この動きの意味: アナリストは、顧客が委託リスクを拠点の所在地で値付けするため、1件の内部犯行が業界全体の条件に響くと指摘する。フィリピンのIT-BPM業界は、AIによる定型業務の自動化に加えて、情報を預ける相手として選ばれ続けられるかという圧力を同時に受けている。
今後の注目点: 豪連邦警察の捜査で個人の特定に至るか。Accentureとフィリピン国家個人情報保護委員会が何らかの見解を出すか。IBPAPが加盟企業向けの具体的な基準を示すか。委託契約でアクセス権と通知義務の条項が厳しくなるか。

オーストラリアの大手エネルギー会社 Origin Energy で約 90万人 の顧客情報が抜き取られた事件について、豪当局は経路を マニラのコールセンター までたどった。ABCによれば、捜査は同社のコールセンター業務を請け負う Accenture のマニラ拠点の元従業員に結びついている。Accentureは「捜査中の案件について当社がコメントするのは適切でない」として言及を避けている。

フィリピンのIT-BPM業界にとって、これは1件の事故では済まない。BusinessWorld が9月1日に伝えたアナリストの見立ては、業界の立ち位置そのものへの警告だった。

抜かれたのは「氏名と住所」だけではなかった

Origin Energy が7月に把握した侵入は、当初は信憑性が低いと判断されていた。豪紙が犯人から顧客50件分のサンプルを受け取ったことで表沙汰になり、同社は約90万人の現・元顧客の情報が閲覧されたと認めた。8月21日時点の同社の集計では、内訳はこうなっている。

対象	人数	内容
全体	約90万人	氏名・住所・生年月日・電話番号、クレジットカード下4桁または銀行口座下3桁など
政府補助の番号	約1万5,000人	電気料金の減免制度などに紐づく番号
身分証番号	約100人	番号のみ。証明書の画像は含まれない
銀行口座番号	約60人	下3桁ではなく口座番号そのもの

犯人は情報の返却と引き換えに金銭を要求したとされる。豪連邦警察が捜査中で、同社は「データが外部に公開された事実はない」としている。

なお、Accenture フィリピン法人のシステムが侵入されたとも、同社に責任があるとも、公には確定していない。分かっているのは、退職した個人が業務上のアクセス権を通じて情報に到達した、というところまでである。

「1人の内部犯行」が業界全体の値段になる

問題はここからである。フィリピンAIビジネス協会でAI倫理・データガバナンスを担当する Dominic Vincent Ligot 氏は、事件の受け止め方をこう整理した。

「1件の内部犯行の疑いを、200万人近い労働力全体に一般化してはならない。とはいえ 顧客はしばしばリスクを『拠点の所在地』で値付けする。目立つ情報漏洩は、オフショアに出すと統制が弱くなるという認識を強めてしまう」

つまり、実際の管理体制がどうであれ、発注側の見積書に「マニラだから」という上乗せが乗るという話である。Ligot氏はこれを「オフショアの問題」ではなく「端から端までのガバナンスの失敗」と呼び、人員審査、役割ごと・期間限定のアクセス権、職務分離、独立した監査、AI利用の記録、内部通報の経路といった対策を挙げた。

契約面についても踏み込んでいる。「契約書はデータの所有権、使ってよいAIツール、再委託の制限、事故の通知期限、測定可能な保証義務を定義しなければならない」

Digital Pinoys の Ronald Gustilo 氏は、フィリピンが立つべき足場を言い換えた。安い人件費ではなく、強い情報保護でこそ競争すべきだという主張である。「フィリピン拠点の事案は評判に大きく響く。国際的な顧客はBPO企業に極めて機微な顧客情報を預けているからだ」

昨年のQantasに続く2件目

マニラのコールセンターを経路とする豪企業の被害は、これが初めてではない。昨年には豪航空 Qantas のマニラ拠点が、電話で人をだましてアクセスを得る手口（ヴィッシング）の標的になっている。同じ国、同じ業態で2年続いたという事実が、Ligot氏の言う「所在地で値付けされる」を裏づけてしまっている。

「AIで減る」の上に「信用で減る」が乗った

この事件が重いのは、業界がすでに縮む方向の見通しを自ら出しているからである。

業界団体 IBPAP の最新ロードマップは、2028年の業界規模を 433億ドル（約6兆9,000億円）・AI活用人材185万人としている。今年の見込みは423億ドル（約6兆7,300億円）・196万人なので、2年で人は減り、売上はほぼ横ばいという絵になる。

IT-BPM業界の2028年見通し（従事者数）（単位：万人）

以前の見通し

250

今年の見込み

196

新しい見通し

185

IBPAPのロードマップ。以前は2028年に250万人・590億ドルを見込んでいた。

この185万人という数字は、以前の見通しである250万人・590億ドル（約9兆3,800億円）から下方修正されたものである。理由はAIの普及と各国との競合とされてきた。インド、エジプト、ベトナムが競合として名指しされている。

そこへ今回の話が乗る。AIに定型業務を削られる圧力と、情報を預ける相手として選ばれ続けられるかという圧力が、同時にかかっている。Ligot氏の言う「定型処理からAI・分析・サイバーセキュリティのような高付加価値へ移る圧力」は、移らなければ縮むという意味でもある。

IBPAP自身は「データ保護とサイバーセキュリティは、フィリピンのIT-BPM産業を支える信頼の根幹である」とBusinessWorldに回答した。フィリピンには2012年制定の個人情報保護法（共和国法10173号）があり、組織的・物理的・技術的な安全管理措置を求めている。

日本企業にとっての読みどころ

マニラに業務を委託している日本企業にとって、確認すべきは委託先の設備やセキュリティ認証だけではない。今回の経路は退職した個人が持っていたアクセス権である。契約書に事故の通知期限、再委託の制限、アクセス権の即時失効の条件が書かれているか。書かれていない契約は、事故が起きてから交渉することになる。

換算は1ドル=159円（2026年8月21日時点）で計算した目安である。