東急不動産が管理ウェブサイトへの不正アクセスを発表、個人情報流出の可能性｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. 東急不動産が管理ウェブサイトへの不正アクセスを発表、個人情報流出の可能性
             

東急不動産が管理ウェブサイトへの不正アクセスを発表、個人情報流出の可能性



東急不動産は10月30日、同社が管理する一部ウェブサイトのAWS共同サーバー環境で不正アクセスを確認し、個人情報が外部へ流出した可能性があると発表した。日本経済新聞は同日、流出の可能性がある件数を4,082件と報じている。

概要

東急不動産が管理する一部ウェブサイトのAWS共同サーバー環境で、第三者による不正アクセスが確認された。これに伴い、該当ウェブサイトに登録・保存されていた個人情報が外部へ流出した可能性がある。

東急不動産の発表によると、時系列は次のとおり。

10月30日、同社はこの件をニュースリリースとして公表した。

同社は不正アクセスを検知した後、直ちに該当ウェブサイトを緊急停止し、セキュリティ対策を実施した。不正アクセスの発生日や検知日は、本稿執筆時点で確認できた公開情報には示されていない。

原因や侵入経路は、公式発表ページの本文では示されていない。同社は保守管理委託先と連携し、原因の追究と影響範囲の特定調査を進めている。委託先による個別の発表は確認できなかった。

同社の発表ページには、PDF版（253.8KB）も掲載されている。PDFダウンロード（253.8 KB）本稿ではPDFの中身までは確認できていない。

被害・影響の範囲

流出の可能性がある個人情報の件数について、日本経済新聞の企業一覧は「東急不動産、4082件の個人情報が流出か」と伝えている。公式発表ページの本文からは、この件数を確認できなかった。

漏えいした可能性のある情報の項目や、含まれない情報は、公式発表ページの本文では確認できなかった。クレジットカード情報の有無も同様である。確定した件数と項目は、調査の結果を待つ必要がある。

二次被害の有無は、公表されていない。対象となったウェブサイトの名称や、サイトごとの内訳も確認できていない。

東急不動産グループの公式サイトには、同じ10月30日付で別のお知らせも掲載されている。外部サービスにおける不正アクセスに伴う当社ウェブサイトへの影響および個人情報流出の可能性についてというお知らせである。今回の発表との関係は、確認できていない。

企業・団体の対応

東急不動産は、お客様および関係者に多大なる心配と迷惑をかけたとして、深くおわびしている。

技術的な措置として、不正アクセスの検知後に該当ウェブサイトを緊急停止し、セキュリティ対策を実施した。調査は保守管理委託先と連携して進めている。

利用者への個別の連絡方法や問い合わせ窓口、注意喚起の内容は、公式発表ページの本文では確認できなかった。警察や個人情報保護委員会への届出の有無も、同様に確認できていない。

編集部コメント（読者企業が取るべき対策）

今回の事案は、共同利用のクラウド環境に複数のウェブサイトを置いていた場合の影響範囲の広さを示している。サイトの運用を委託している企業ほど、自社が何を保存し、どこに置いているかを把握しておく必要がある。事故が起きてから調べるのではなく、平時から確認できる状態にしておきたい。

利用状況の棚卸し
自社が管理するウェブサイトとクラウド環境を一覧にし、どのサイトがどのサーバーを共用しているかを確認する。あわせて、各サイトに保存されている個人情報の項目と件数を整理する。使っていない会員登録フォームやキャンペーンサイトは、データの削除や閉鎖を検討する。

委託先への確認事項
保守管理を委託している場合は、委託先が管理する権限の範囲と、ログの保存期間を確認する。不正アクセスが疑われたときの連絡手順と、調査への協力範囲も、契約や運用ルールで確認しておく。管理者権限の認証に多要素認証が使われているかも点検する。

共同サーバー環境の分離と監視
共同のサーバー環境では、1つのサイトへの侵入が他のサイトに広がるおそれがある。サイトごとのアクセス権限やネットワークの分離状況を見直す。不審なログインや大量のデータ取得を検知できる監視の仕組みも整える。

個人情報の保存方針の見直し
ウェブサイトに保存する個人情報は、利用目的に必要な範囲にとどめる。保存期間を決め、期間を過ぎたデータは削除する。保存が必要な情報は、暗号化やアクセス制限で保護する。

顧客への情報提供とフィッシング対策
流出の可能性が出た時点で、対象となる顧客へ速やかに連絡できるよう、案内文と問い合わせ窓口を事前に用意しておく。流出した情報を悪用した不審なメールや電話が増えるおそれがあるため、公式の連絡手段を明示し、注意喚起を行う。自社の名をかたるメールへの対処方法も、あわせて周知しておく。

なお、流出した可能性のある情報の項目と件数、原因や侵入経路は、現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。