サントリーHDが外部クラウドへの不正アクセスで約10万人分の個人情報漏えいを発表｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. サントリーHDが外部クラウドへの不正アクセスで約10万人分の個人情報漏えいを発表
             

サントリーHDが外部クラウドへの不正アクセスで約10万人分の個人情報漏えいを発表



サントリーホールディングスは11月2日、グループが利用する外部クラウドサービスで第三者による不正アクセスを確認し、ダウンロードされたファイルの一部に個人情報が含まれていたと発表した。対象は約10万人分で、従業員のほか、採用応募者や顧客など複数の区分にまたがる。

概要

同社グループが利用する外部クラウドサービスに第三者が不正にアクセスし、ファイルをダウンロードした。そのファイルの一部に個人情報が含まれていた。日本経済新聞は、業務で使うクラウドサービスが不正アクセスを受けたと報じている。

同紙によると、社員が使う業務ソフト「マイクロソフト365」が対象とされる。NHKも、マイクロソフトのクラウドサービスが不正アクセスを受けたと伝えた。一方、公式発表は「外部クラウドサービス」との表記にとどまる。サービス名や侵入経路は、発表された範囲では明らかにされていない。

サントリーホールディングスの発表によると、時系列は次のとおり。

10月28日、外部クラウドサービスで異常を検知した。不正アクセスを遮断して調査を開始し、漏えいしたファイル名を特定した。

10月29日、漏えいしたファイルの一部に個人情報が含まれることを確認した。

11月2日、個人情報保護委員会へ速報で報告し、対象者への個別連絡を開始した。

被害・影響の範囲

発表によると、11月1日までに確認された主な対象は次の3区分である。

一つ目は、サントリーグループの従業員とパートナー企業などの従業員で、氏名とメールアドレスが約9万人分。二つ目は、企業活動体験プログラム「マル・デ・シャイン」に2023年末時点で登録されていた顧客で、メールアドレスが7,323人分。三つ目は、2026年新卒採用ビジネス部門オープン選考の応募者で、氏名、メールアドレス、電話番号などが7,173人分。

このほか、報道を整理した複数のサイトによると、社用携帯電話に登録された関係者1,097人分の氏名と電話番号が含まれる。モンテ物産の従業員らの情報324人分、井筒まい泉の宅配注文者と配送従業員の情報96人分、取引先従業員の情報25人分も対象とされる。これらは公式発表の全文を確認できていないため、詳細は公式発表で確認されたい。

クレジットカード番号などの決済情報は含まれていない。現時点で、当該個人情報が不正に利用された事実は確認されていない。産経新聞によると、攻撃者からの脅迫なども確認されていない。

企業・団体の対応

サントリーホールディングスは、不正アクセスを遮断し、被害拡大を防ぐために必要な対策を講じているとしている。個人情報保護委員会には11月2日に報告した。

同社は「ご心配とご迷惑をおかけしますことを、心よりお詫び申し上げます」としている。再発防止に取り組み、セキュリティ対策の一層の強化に努める方針だ。

調査は継続しており、新たに公表すべき事実が判明すれば速やかに知らせるとしている。

問い合わせ先として、24時間受付のフォームとフリーダイヤル0120-050-310を設けている。電話の受付時間は9時30分から17時までで、11月3日は祝日だが受け付ける。

編集部コメント（読者企業が取るべき対策）

今回の事案は、業務で使うクラウドサービスに保存されたファイルが、まとめて外部に持ち出されたものとされる。保存データの中身は、社員や取引先、採用応募者など多岐にわたっていた。クラウドの利用状況と保存データを把握しておくことが、被害把握の速さにつながる。

利用状況の棚卸し
自社が使うクラウドサービスと、そこに保存されている個人情報を一覧にする。部門が独自に契約したサービスも含めて確認する。

認証とアクセス制御の点検
多要素認証が全利用者に適用されているかを確認する。管理者権限を持つアカウントを絞り、古いアカウントや使われていない連携アプリは無効にする。

ログ監視と検知体制
ファイルの大量ダウンロードや、普段と異なる場所からのアクセスを検知できるようにする。ログの保存期間も確認し、調査に足りる長さを確保する。

保存データの最小化
採用応募者情報や過去のキャンペーン登録情報など、不要になった個人情報はクラウド上に残さない。保存期間のルールを決め、定期的に削除する。

フィッシング対策と取引先への情報提供
漏えいした氏名とメールアドレスは、なりすましメールに悪用されるおそれがある。従業員や取引先に注意喚起し、不審なメールの報告窓口を周知する。取引先に関わる情報が含まれる場合は、早めに連絡する体制を整える。

なお、侵入経路、クラウドサービスの具体名、全体の影響範囲は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。