TKCが委託先アララへの不正アクセスで顧客メール最大223万件の漏えい対象を公表｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. TKCが委託先アララへの不正アクセスで顧客メール最大223万件の漏えい対象を公表
             

TKCが委託先アララへの不正アクセスで顧客メール最大223万件の漏えい対象を公表



TKCは11月2日、委託先アララのメール配信サービス「アララメッセージ」への不正アクセスについて、第2報を公表した。TKCのシステムを利用する顧客のメールアドレスが、情報漏えいの対象に含まれるとした。件数は最大223万812件で、10月30日に委託先から受けた「漏えいなし」の報告から状況が大きく変わった。

概要

アララが運営するメール配信サービス「アララメッセージ」が不正アクセスを受け、TKCがメール送信を委託していたことから、同社システムの顧客のメールアドレスが漏えい対象に含まれることが分かった。TKCは、会計事務所・企業・自治体向けシステムのメール送信が停止していることも公表した。

姫路市の発表によると、時系列は次のとおり。

10月28日、TKCから姫路市に、外部サービスへの不正アクセスが発生したとの報告が入った。姫路市の同ポータルサイトは、TKCがメール配信を再委託する外部サービスの影響を受けた。

10月30日、TKCから姫路市に、当該外部サービスの情報漏えいはないとの報告が入った。

10月31日、TKCから姫路市に、不正アクセスにより外部サービスを緊急停止したとの報告が午後5時37分に入った。

11月2日、アララが不正アクセスによる情報漏えいの発生を公表した。その後、TKCから姫路市に状況報告が入った。

アララの第2報によると、原因は次のように説明されている。既報で原因とされたウェブサーバーの脆弱性に加え、システム環境の問題も関係していたことが判明したとされる。

アララ側の主な経緯は次のとおり。10月27日から28日にかけて、第三者が管理画面に不正にログインし、データを持ち出したとされる。共用環境は10月28日16時31分に緊急停止された。アララメッセージは10月31日19時53分に全面停止し、11月2日の公表時点で停止中とされる。

被害・影響の範囲

TKC関連で漏えい対象に含まれるのは、メールアドレスで最大223万812件。TKC関連のその他の情報項目の詳細は、調査中とされる。

自治体向けでは、姫路市が、ポータルサイトに登録されたメールアドレスや氏名などが漏えいした可能性があると公表した。クレジットカード情報は含まれないとしている。

影響は自治体システムにも及んでいる。マイナンバーカード交付予約・管理システム、スマート申請システムなどのメール機能に影響が出ている。宇都宮市の電子申請システムも対象となった。しもつけオンラインサービスについては、下野市が、TKCから11月2日に流出の可能性の連絡を受けたとしている。

二次被害について、TKCの発表内容で確認できた範囲では、実被害の報告は見当たらない。一方、アララの第2報では、約713万通の不審メールが送信されたとされる。

アララ全体の被害はさらに大きい。最大約380社が関係する環境から、約7,700万件のメールアドレスが持ち出された、または持ち出されたおそれがあるとされる。10月29日の既報では約301万件だった。

企業・団体の対応

TKCは、会計事務所などの顧客向けシステムのメール送信を停止した。再開時期は未定とされる。TKCは第1報と第2報を11月2日に公表した。確認できた範囲では、TKC本体の個人情報保護委員会への届出の有無は公表されていない。

アララは、個人情報保護委員会への速報、警察への通報、JIPDECへの速報を10月29日に実施したとしている。サービス再開時には、契約企業に管理画面のパスワードや認証情報の再設定を依頼する予定とされる。

アララは、利用者への注意喚起も行っている。同社や契約企業をかたるメール、SMS、電話、郵便物に注意するよう呼びかけた。心当たりのない連絡のURLにはアクセスせず、IDやパスワード、クレジットカード情報を入力しないよう求めている。

姫路市は、TKCからの状況報告を受けて、市のホームページと公式LINEで注意喚起を行った。

編集部コメント（読者企業が取るべき対策）

今回の事案では、委託先のさらに先にある再委託先で起きた侵害が、複数の組織の顧客情報に波及した。委託先から「漏えいなし」と報告を受けた後に、状況が覆った点にも注意が必要である。自社の顧客データがどこを通るかを把握し、初報の内容に頼りすぎない備えが求められる。

再委託先を含む利用状況の棚卸し
自社が使うシステムが、どの外部サービスでメールやSMSを送っているかを一覧にする。委託先から再委託先までを含め、送信に使う顧客データの項目も確認する。

委託先への確認事項
委託先には、再委託先の名称、保有データ、事故時の連絡手順を事前に確認する。初報で影響なしとされた場合も、調査の根拠と更新時期を聞いておく。

フィッシング対策
漏えい対象のメールアドレス宛てに、なりすましメールが届く可能性がある。顧客や従業員に、メール内のURLを開かないよう周知する。自社から連絡する際は、正規サイトの案内先を明示するとよい。

メール停止時の代替手段の確保
メール送信が止まると、予約確認や申請受付などの業務に支障が出る。電話、Webの掲示、郵送などの代替連絡手段をあらかじめ決めておく。停止期間中は、公式サイトで案内を出す。

顧客への情報提供
影響の有無が不明な段階でも、分かっている事実と調査中の事項を分けて顧客に伝える。続報の時期の見通しも示す。問い合わせ窓口を一本化し、案内の内容にばらつきが出ないようにする。

なお、TKC関連のメールアドレス以外の漏えい項目やサービス再開時期は、現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。