北陸電力は11月2日、会員サービス「ほくリンク」の会員約55万件のメールアドレスが外部に流出したと発表した。委託先が利用するメール配信サービスの事案で、同じサービスから最大約7,700万件が流出した事案の一部にあたる。

概要

北陸電力の会員向けメール配信を委託している外部の運営会社が、メール配信サービスへの不正アクセスを受けた。不正アクセスは10月28日から31日にかけて行われた。この不正アクセスで、ほくリンク会員のメールアドレスが外部に流出した。

不正アクセスを受けたのは、メール配信サービス会社アララ（東京）のサーバーとされる。アララの親会社であるペイクラウドホールディングスは同日、アララへのサイバー攻撃でメールアドレス約7,700万件が外部に流出したと発表した。

北陸電力などの発表によると、時系列は次のとおり。

10月28日から31日にかけて、メール配信サービスに不正アクセスがあった。ペイクラウドHDの発表では、アララのサーバーを経由して、顧客企業最大380社が利用するサーバー97台に侵入を受けたという。

アララは31日に状況を把握し、同日サービスの提供を取りやめた。サーバーの通信も遮断した。

11月2日午前10時ごろ、北陸電力は運営会社から「不正アクセスでメールアドレスが流出した」と連絡を受けた。北陸電力は同日午後7時半ごろ、アプリで事案の報告と謝罪を行った。

ペイクラウドHDの発表によると、システム管理画面に不正ログインしてデータを盗み出したとみられる。北陸電力は、侵入経路について個別の発表を行っていないとみられる。

被害・影響の範囲

北陸電力によると、流出したのはメールアドレスのみである。氏名やクレジットカード番号などの流出は確認されていないとしている。

ほくリンクの会員登録は9月末時点で約67万6,000件。流出した約55万件は、その大半にあたる。

北陸電力は、ほくリンク利用者以外の情報流出は現時点で確認されていないとしている。二次被害については、北陸電力から被害の報告は公表されていない。

影響は北陸電力にとどまらない。ペイクラウドHDによると、11月2日時点でメールアドレス7,700万件のほか、氏名や電話番号、住所なども流出したことを確認した。これは顧客企業ごとに異なり、決済情報は同社が保有しておらず漏れていないという。

クレジットカード会社を装った不審メールが、最大約713万通送信されたことも確認された。北陸電力の件でこうした不審メールが届いたかどうかは、公表されていない。

企業・団体の対応

北陸電力は「多大なるご心配とご迷惑をおかけすることとなり、心より深くお詫び申し上げます」としている。

北陸電力は、ほくリンクのメール配信を停止した。運営会社と連携して情報収集に努めている。

北陸電力は、メールアドレスが流出した会員にアプリなどを通じて説明し、今後も不審なメールに注意するよう呼びかけている。

運営会社はメールマガジンなどのサービスをすべて停止しており、再開のめどは立っていない。警察や個人情報保護委員会への届出については、北陸電力の発表の範囲では確認できなかった。

編集部コメント（読者企業が取るべき対策）

今回の事案は、自社のシステムが無事でも、委託先が使う二次的なサービスの被害で顧客情報が流出し得ることを示している。メールアドレスだけでも、フィッシングの標的として悪用される恐れがある。委託先のさらに先の再委託先まで含めて、情報の流れを把握しておく必要がある。

利用状況の棚卸し
自社がメール配信サービスや外部クラウドに預けている顧客データを一覧にする。どの委託先が、どのサービスに、どの項目を保管しているかを確認する。

委託先への確認事項
委託先が利用する再委託サービスの名称と、保管される情報の項目、件数を書面で確認する。侵害時に自社へ連絡する期限と手順も、あらかじめ取り決めておく。

認証情報の見直し
管理画面のパスワードやAPIキーなどの認証情報を、定期的に変更する。多要素認証の有無を確認し、利用できる場合は有効にする。

フィッシング対策
流出した可能性のあるアドレス宛てに、自社をかたる不審メールが届く恐れがある。公式の問い合わせ先と、メール内のリンクを開かないよう求める案内を、顧客へ早めに周知する。送信ドメイン認証の設定も点検する。

顧客への情報提供
流出した項目と流出していない項目を、分けて明確に伝える。確認できていない事項は調査中と明記し、続報の掲載先を示す。

なお、不正アクセスの詳細な原因と、サービスの再開時期は現在調査中とされている。今後の続報に注意されたい。

出典

• 北陸電力会員サービス「ほくリンク」会員のメールアドレス外部流出について｜北陸電力株式会社
• 「ほくリンク」会員 55万件のメールアドレス流出（北國新聞社／Yahoo!ニュース）
• 北陸電力の会員サービス「ほくリンク」メールアドレス55万件が流出 委託先が不正アクセス被害（中日新聞Web）
• メール配信「アララ」で不正アクセス、最大713万通の不審メール確認（日本経済新聞）
• アララの情報流出で約7700万件追加か、最大713万通の不審メール送信も判明（日経クロステック）

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから