名簿業者でさえ収集に苦労するという大量の子供のデータはどんなルートで拡散したのか。東京都内の名簿業者は「素人のSEが業者に持ち込んでも門前払いにされるのが普通で、警察に通報される可能性もある」と首をかしげる。
ベネッセ関係者によると、顧客情報は今年1月ごろには、東京都武蔵野市の名簿業者「パン・ワールド」が入手。福生市の名簿業者「文献社」を通じ、5月にIT大手のジャストシステムに約260万件分が転売された。ベネッセからは少なくとも約760万件分が流出しており、パン社は「他の業者から買った」と説明している。
顧客情報は、このルート以外にも流れていた。別の名簿業者は4月ごろ、800万件分の子供のデータを入手したが、ベネッセからの流出をうかがわせる架空の名前が記載されており、転売を見送った。一方で、「何社にも転売した」とする業者もいるという。
不正流出した顧客情報を売買したパン社や文献社、ジャスト社は法的責任を問われないのか。
経済産業省によると、流出元から直接入手した業者は刑事罰に問うことも可能だが、それ以外の業者が問われるのは基本的に賠償責任のみ。警視庁の事情聴取には、3社とも「別の業者から買った」と供述しており、供述通りなら刑事罰には問えないが、不正入手を指示していたことが発覚すれば、直接入手した業者と一体とみなされて摘発対象となる可能性は残る。