松屋フーズHDが公式アプリ管理システムへの不正アクセスで約238万件の個人情報漏えいを発表｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. 松屋フーズHDが公式アプリ管理システムへの不正アクセスで約238万件の個人情報漏えいを発表
             

松屋フーズHDが公式アプリ管理システムへの不正アクセスで約238万件の個人情報漏えいを発表



松屋フーズホールディングスは10月30日、松屋公式アプリ（松弁ネット、モバイルオーダー、松弁デリバリー）の管理システムが第三者から不正アクセスを受け、利用者の個人情報が漏えいしたと発表した。前日の10月29日の時点では情報漏えいの有無は調査中だったが、約238万件の漏えいが確認された。

概要

松屋フーズHDは、松屋公式アプリの管理システムが第三者から不正アクセスを受け、利用者の個人情報が漏えいしたと発表した。10月28日に不正アクセスを受け、アプリに登録されている会員情報等が漏えいしたことが判明したという。原因や経緯の詳細は調査中とされる。

松屋フーズHDの発表や各社報道によると、時系列は次のとおり。

不正アクセスは10月28日夜9時ごろに検知されたとされる。

松屋フーズは同日午後10時41分、公式Xアカウントで、緊急メンテナンスのため公式サイトと松屋アプリ、松弁ネットを停止していると投稿した。この時点では、不正アクセスには触れていなかった。

10月29日、松屋フーズと松屋フーズHDは、外部からの不正アクセスを検知したとして、公式アプリとホームページ等の関連サービスを停止したと明らかにした。この時点では、情報漏えいの有無や復旧の見通しは明らかにされていなかった。

10月30日、同社は管理システムへの不正アクセスにより会員情報などが漏えいしたと発表した。東京証券取引所への適時開示でも、不正アクセスがあったのは10月28日とされている。

被害・影響の範囲

漏えいが確認された情報は2種類ある。1つは松屋公式アプリに登録した利用者の情報2,000件（最大3,000件となる可能性がある）で、会員ID、都道府県、氏名、電話番号、生年月日、メールアドレス、暗号化されたパスワード、松屋ポイントが含まれる。

もう1つは松弁ネット、モバイルオーダー、松弁デリバリー利用者の情報237万7,127件で、会員ID、届け先住所、氏名、電話番号、松屋ポイントが含まれる。両者を合わせて約238万件とされる。

クレジットカード情報は同社では保持していないという。

二次被害の発生については、確認した範囲では公表されていない。同社は、個人情報がなりすまし等に悪用される可能性もあるとして注意を呼びかけている。

サービス面では、公式アプリとウェブサイトが10月28日夜から停止している。再開時期は明らかにされていないが、早期の復旧を目指すとしている。他の組織への影響の広がりは、公表されていない。

企業・団体の対応

同社はシステムの復旧に取り組むとともに、対象者に個別に連絡するとしている。

個人情報保護委員会への報告などを進めるとしている。アプリ会員にはサービス停止期間中の補償をする予定で、詳細は別途知らせるという。

利用者への注意喚起も行っている。不審なメール、SMS、電話などに注意するよう呼び掛けている。同社からメールや電話で、パスワードやクレジットカード情報等を尋ねることはないとしている。

編集部コメント（読者企業が取るべき対策）

今回の事案では、会員アプリの管理システムへの侵入により、複数サービスの利用者情報が一度に漏えいした。管理システムは大量の個人情報を集約するため、侵入されたときの影響が大きい。サービスの停止判断や利用者への説明も、被害を抑える上で重要になる。

管理システムのアクセス制御の点検
管理画面にアクセスできる人、端末、ネットワークの範囲を洗い出す。多要素認証の導入、接続元IPアドレスの制限、管理者権限の棚卸しを行い、不要なアカウントは削除する。

保有する個人情報の棚卸し
どのシステムにどの個人情報を何件保存しているかを、サービスごとに把握する。今回は届け先住所や電話番号が対象となっており、配送や予約に伴う情報も管理対象に含める。不要になったデータは、保存期間を決めて削除する。

停止判断と復旧手順の整備
不正アクセスを疑ったときに、誰がどの基準でサービスを止めるかを事前に決めておく。停止後の調査、復旧、利用者への告知の手順も、あらかじめ文書にしておく。

フィッシング対策と利用者への注意喚起
氏名、電話番号、住所が漏えいすると、これらを悪用した不審なメールやSMS、電話が届く可能性がある。自社から問い合わせる際の連絡手段と、聞かない情報を公式サイトで明示する。不審な連絡への対処法も、あわせて案内する。

監視とログ保全の強化
管理システムへのログインや大量のデータ取得を検知できるよう、ログの記録と監視を見直す。侵入の経緯を調査できるよう、ログは十分な期間保存する。外部の専門機関と連携する体制も、平時から確認しておく。

なお、原因や侵入の経緯、サービスの復旧時期は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。