アクセス設定ミスで顧客識別番号など16万件閲覧可能に│コスモ石油マーケティング

7/10開催セキュリティエンジニアの方が多数参加する交流会開催！@東京駅詳細はこちら→

コスモ石油マーケティング株式会社は2025年6月16日、同社が提供する車検サービス「コミっと車検」において、クラウド環境に保存された一部ファイルに閲覧制限の設定誤りがあり、外部からアクセス可能な状態になっていたことを明らかにしました。

誤設定が確認されたのは2025年5月30日のことです。社内でクラウド設定の確認作業を行っていた際に、一部ファイルのアクセス制限が適切に施されていないことが判明しました。同社によると対象ファイルは、「コミっと車検」に関する顧客および整備士の情報が保存されたもので、2019年8月1日～2025年5月30日までのデータが含まれていました。

アクセス可能であった情報は、顧客識別番号（約16万5千件）、電話番号（約17万6千件）、氏名（約3万5千件）、車種や車台番号などを含む車両情報（約11万9千件）、および担当整備士の氏名（約3千件）です。一方で、クレジットカード情報は保存されておらず、流出の心配はないとしています。

なお、同社が実施したアクセス調査によれば、2023年1月27日以降のログには外部からのアクセスは記録されていません2023年1月以前のアクセス記録は取得されておらず不明です。同社は、外部アクセス可能とはいえ、対象ファイルへのアクセスには推測困難なURLを入力する必要があることから、実際に外部からのアクセスがあった可能性は低いと説明しています。また、現在は対象となる問題はすべて修正され、外部から閲覧できない状態であることを確認済みです。

参照コミっと車検申込情報のアクセス権限での設定誤りについて｜コスモ石油マーケティング株式会社