丸井グループがデジタル社債の委託先への不正アクセスで最大9,086人の情報漏えいを発表｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. 丸井グループがデジタル社債の委託先への不正アクセスで最大9,086人の情報漏えいを発表
             

丸井グループがデジタル社債の委託先への不正アクセスで最大9,086人の情報漏えいを発表



丸井グループは11月2日、発行するデジタル社債の管理業務を委託した会社が不正アクセスを受け、応募した最大9,086人の個人情報が漏えいしたと発表した。漏えいした可能性のある情報には銀行口座番号が含まれ、同じ委託先の関連では他社にも影響が出ている。

概要

丸井グループは、デジタル社債の管理業務を委託するSecuritize Japan株式会社（セキュリタイズ社）のサーバーに不正アクセスがあり、応募者の個人情報が一部漏えいしたことを確認した。丸井グループは、本件はセキュリタイズ社への不正アクセスによる被害であり、現時点では自社システムからの漏えいは確認されていないとしている。

丸井グループの発表によると、時系列は次のとおり。

10月29日、セキュリタイズ社のサーバーが第三者による不正アクセスを受け、最大9,086人の個人情報が一部漏えいしたことが確認された。

11月2日、丸井グループが公式サイトのニュースリリースで本件を公表した。

原因や侵入経路の詳細は公表されていない。丸井グループはセキュリタイズ社と連携し、詳細な原因と影響範囲を調査しているとされる。

セキュリタイズ社自身の発表は、今回の検索では確認できなかった。

関連する動きとして、NTTデータは11月2日、委託先がセキュリタイズ社の日本法人だったと明らかにした。同社によると、10月29日にセキュリタイズが提供する社債の特典付与サービスで不正アクセスが発生し、攻撃者は認証機能の脆弱性を悪用して管理者権限を取得したとされる。これはNTTデータ側の説明であり、丸井グループの事案で同じ手口が使われたかは公表されていない。

被害・影響の範囲

漏えいした可能性のある情報は、氏名、住所、電話番号、メールアドレス、生年月日、性別、銀行口座番号、投資口数である。セキュリタイズ社にはクレジットカード情報を委託していないため、カード情報の漏えいはないとされる。

件数は最大9,086人である。共同通信によると、このうち54人分には銀行口座番号が含まれている可能性がある。

二次被害は、現時点で確認されていない。

影響は丸井グループ以外にも広がっている。日経クロステックによると、セキュリタイズ社のシステムを利用する社債購入者向けサービスで個人情報が漏えいした可能性があり、楽天証券など複数の証券会社や社債発行会社に影響が及んでいる。NTTデータは、少なくとも2,789人の情報漏えいを確認したと発表した。スターツ証券も、取り扱う商品で利用するプラットフォームへの不正アクセスにより、氏名と保有口数に情報漏えいの懸念があると公表した。

企業・団体の対応

丸井グループは、利用者や関係者に多大な迷惑と心配をかけたとしておわびした。今回の件を踏まえ、委託先への管理・監督を一層強化し、再発防止に努めるとしている。

調査は、前述のとおりセキュリタイズ社と連携して進めている。

報道によると、丸井グループは対象者に個別に連絡している。

警察や個人情報保護委員会への届け出の有無は、今回確認できた範囲では公表されていない。利用者への具体的な注意喚起の文面も確認できていない。

編集部コメント（読者企業が取るべき対策）

今回の事案は、自社のシステムが無事でも、委託先の被害によって顧客情報が漏えいし得ることを示している。委託先に預けた情報の種類と量を把握していなければ、公表時の説明が遅れかねない。複数の発行企業や販売会社が同じ基盤を共有していた点にも注意が必要である。

委託先に預けているデータの棚卸し
委託先ごとに、預けている個人情報の項目、件数、保管場所を一覧にする。氏名や連絡先だけでなく、口座番号や取引情報が含まれていないかを確認する。

委託先への確認事項の整理
委託先のセキュリティ事故の連絡手順と連絡期限を、契約や運用ルールで確認する。管理者権限の管理、多要素認証の有無、ログの保存期間も、あらかじめ問い合わせておく。

フィッシング対策
氏名、住所、電話番号、メールアドレスがそろって漏れた場合、これらを使った詐欺の連絡が起こり得る。顧客向けに、公式サイト以外のリンクを開かないよう周知し、自社名をかたるメールや電話の事例を集めておく。

認証と権限管理の点検
NTTデータの説明では、認証機能の脆弱性を突いた管理者権限の取得が確認されている。自社と委託先の管理用アカウントについて、権限の範囲、多要素認証、不要なアカウントの削除状況を点検する。

顧客への情報提供の準備
漏えいの可能性がある情報の項目、対象人数、問い合わせ窓口を、すぐ公表できるよう雛形にしておく。口座番号のように影響の大きい情報が含まれる対象者には、個別連絡の方法も決めておく。

なお、原因と影響範囲の詳細は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。