コアデのはにくじランドに不正アクセス 最大7,622名の個人情報流出の可能性｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. コアデのはにくじランドに不正アクセス 最大7,622名の個人情報流出の可能性
             

コアデのはにくじランドに不正アクセス 最大7,622名の個人情報流出の可能性



株式会社コアデは10月30日、同社が運営するオンラインくじサイト「はにくじランド」で第三者による不正アクセスを受け、一部システムが不正に操作された痕跡を確認したと発表した。流出した可能性がある人数は最大7,622名で、流出した情報の項目は精査中とされる。

概要

コアデは、オンラインくじサイト「はにくじランド」の運用環境で、第三者による不正なコマンド実行と認証情報の不正利用の形跡を確認した。調査の過程で形跡を確認し、第三者調査機関にフォレンジック解析を委託した。これらの形跡が見つかった日付は公表されていない。

今回の不正アクセスでは、利用者の氏名、住所、電話番号、メールアドレス、購入履歴等が流出した可能性があるとされる。編集部は公式発表の原文を確認できなかった。以下は、公表内容を伝える複数の掲載ページに基づく。

コアデの発表によると、時系列は次のとおり。

9月、はにくじランドの問い合わせフォームの不具合を契機に、システム運用環境の緊急調査を開始した。なお、コアデのサイトには、9月7日付で問い合わせフォームの不具合解消を知らせる重要なお知らせが掲載されている。

調査の過程で、不正なコマンド実行と認証情報の不正利用の形跡を確認した。確認の日付は公表されていない。

10月30日、不正アクセスについて公表した。

原因や侵入経路について、発表では次のように伝えられている。不正アクセスは、第三者による不正なコマンド実行と、メール送信関連の認証情報の不正利用の形跡によるものとされる。攻撃の起点となった脆弱性の種類は公表されていない。

被害・影響の範囲

流出した可能性がある情報は、氏名、住所、電話番号、メールアドレス、購入履歴等で、項目は10月30日時点で精査中とされる。

対象は、はにくじランドに登録・利用した最大7,622名である。実際に流出が確認された人数は公表されておらず、調査中とされる。

含まれない情報としては、クレジットカード情報は外部の決済代行業者が管理しており、流出はないとしている。

二次被害の有無は、確認できた範囲では公表されていない。他の組織への影響の広がりも、確認できた範囲では示されていない。

運営への影響について、10月30日時点で、はにくじランドのサイトはメンテナンス中の表示だった。サービスの再開時期は公表されていない。

企業・団体の対応

コアデは、第三者調査機関にフォレンジック解析を委託し、原因と影響範囲の調査を進めている。調査結果は、判明次第あらためて知らせる方針とみられる。

利用者向けの問い合わせ窓口は、はにくじランドのお問い合わせフォームと案内されている。ただし、サイト自体がメンテナンス中の表示だったため、問い合わせの受付状況は確認できていない。

おわびの文面、利用者への個別連絡の方法、警察や個人情報保護委員会への届出の有無は、編集部が確認できた範囲では公表されていない。利用者への注意喚起の内容も確認できていない。

編集部コメント（読者企業が取るべき対策）

今回の事案は、問い合わせフォームの不具合という小さな異変が、調査のきっかけになった点が示唆的である。運用上の異常を単なる不具合で終わらせず、侵害の可能性として調べる体制が被害の把握を早める。また、認証情報の悪用が指摘されており、権限の管理も見直したい。

不具合を侵害の兆候として扱う
フォーム、メール配信、ログインなどの不具合は、原因が切り分けられるまで侵害の可能性を残して扱う。障害対応の手順に、ログの保全とセキュリティ担当者への連絡を組み込む。

認証情報の棚卸しと更新
メール送信、決済、クラウド管理などで使うAPIキーやパスワードの一覧を作り、保管場所と権限を確認する。不要なものは削除し、使い続けるものは定期的に更新する。侵害の疑いがあるときは、すべて失効させて再発行できる手順を用意する。

不審なコマンド実行の検知
サーバー上で想定外のコマンドが実行されたことを検知できるよう、操作ログの取得と監視を整える。ログは改ざんされない場所に一定期間保存する。フォレンジック調査に備え、保存期間を事前に決めておく。

外部サービスの管理画面の保護
メール送信など外部サービスの管理画面には、多要素認証と接続元の制限を設定する。担当者の退職や異動のたびに、アカウントと権限を見直す。

利用者への情報提供の準備
流出の可能性が判明した段階で、対象者、項目、問い合わせ先を早く示せるよう、連絡文面と手順を用意しておく。不審なメールや電話への注意喚起も合わせて伝える。決済情報を自社で保持しない設計は、被害の範囲を絞るうえで有効である。

なお、流出した情報の項目、実際に流出が確認された人数、侵入の原因は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。