バンダイナムコ系が委託先経由でガンダムベース会員のメールアドレス34万件漏えい｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. バンダイナムコ系が委託先経由でガンダムベース会員のメールアドレス34万件漏えい
             

バンダイナムコ系が委託先経由でガンダムベース会員のメールアドレス34万件漏えい



バンダイナムコエンターテインメントとBANDAI SPIRITSは10月27日、「THE GUNDAM BASE MEMBERS」会員のメールアドレスなど34万6,247件が漏えいしたと発表した。メール配信の委託先であるユミルリンクへの不正アクセスが原因で、同社が公表した一連の被害が、委託元の個別サービスにまで広がった形である。

概要

BANDAI SPIRITSが運営する「THE GUNDAM BASE MEMBERS」は、バンダイナムコエンターテインメントが運営する「バンダイナムコID」のメールサービスを利用している。このメール配信業務の委託先であるユミルリンクが不正アクセスを受け、会員のメールアドレスなどが取得された形跡が確認されたとされる。

バンダイナムコエンターテインメントとBANDAI SPIRITSの発表によると、時系列は次のとおり。

10月26日、ユミルリンクからバンダイナムコエンターテインメントに対し、「THE GUNDAM BASE MEMBERS」の利用環境への不正アクセスと、メールアドレス等の情報取得の形跡があったと報告があった。

10月27日、両社はメール配信サービスの使用を直ちに停止し、個人情報保護委員会へ報告した。発表は同日21時、バンダイナムコIDのポータルサイトに掲載された。

委託先のユミルリンクも発表を出している。同社の第二報によると、10月16日に担当者が一部システムで不正アクセスを確認した。日本経済新聞によると、プログラムの脆弱性から、サポート・品質管理担当者の認証情報を取得されたとされる。10月26日の第二報では、不正アクセスが確認されたシステムと件数が第一報より大幅に増えたと発表された。

被害・影響の範囲

漏えいが確認された情報は、「THE GUNDAM BASE MEMBERS」に登録された346,247件のメールアドレスと、バンダイナムコID管理用の内部識別子である。

氏名、住所、購入履歴などの情報、ログインパスワード、クレジットカード情報は、漏えいの対象に含まれていないとしている。

二次被害は現在まで確認されていないが、対象の利用者に「なりすまし」や「フィッシング詐欺」などの迷惑メールが送信される可能性がある。

委託先側の被害はさらに大きい。ユミルリンクは、対象が50システムに拡大し、漏えい件数は最大約5,163万件になったと発表した。バンダイナムコ側が公表した34万6,247件が、この件数にどう含まれるかは示されていない。

バンダイナムコ側は、ユミルリンクに委託しているほかの利用環境への影響も引き続き確認中としている。

企業・団体の対応

両社は「今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります」とコメントしている。

技術的な措置として、影響を受けた会員向けメール配信サービスの使用を停止した。バンダイナムコIDとTHE GUNDAM BASEの会員サービスは、引き続き利用できる。調査については、ユミルリンクとともに原因と影響範囲を調べ、再発防止に取り組むとしている。

利用者への注意喚起として、今回の件に関する案内メールにはURLを記載しないと明言し、不審なリンクを開かないよう呼びかけている。対象者には改めて連絡するとされる。問い合わせは、バンダイナムコIDのサポートサイトのフォームで受け付けている。

編集部コメント（読者企業が取るべき対策）

今回の事案は、自社のシステムが無事でも、メール配信を委託した先の侵害で顧客のメールアドレスが漏れることを示している。委託先1社の被害が、複数の委託元に同時に波及している点も重要である。自社の顧客データがどこにあるかを把握し、委託先で事故が起きたときの動き方を決めておく必要がある。

委託先の利用状況の棚卸し
メール配信、SMS、ポイント管理など、外部サービスに預けている顧客データを一覧にする。サービスごとに、預けている項目と件数、契約上の責任者を整理しておく。

委託先への確認事項
委託先から事故の報告があった場合に備え、確認する項目を事前に決めておく。自社の環境が対象かどうか、漏えいした項目と件数、侵入経路、再発防止策を、いつまでに回答してもらうかを取り決めておく。

フィッシング対策
漏えいしたメールアドレスは、偽メールの送り先に使われるおそれがある。公式の案内メールにURLを載せない方針は、利用者が偽メールを見分ける助けになる。自社でも、案内の方法を事前に決めて周知しておく。

委託先管理の見直し
委託先が管理者権限や認証情報をどう扱っているかを、契約時と更新時に確認する。多要素認証の有無、権限の分離、ログの保管期間、脆弱性対応の体制を点検項目に入れる。

顧客への情報提供
漏えいした項目と、含まれない項目を分けて、早い段階で顧客に知らせる。問い合わせ窓口と受付時間も一緒に示す。個人情報保護委員会への報告の要否も、早めに判断する。

なお、原因の詳細と、ユミルリンクに委託しているほかの利用環境への影響は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。