ビックカメラ、コジマ、ソフマップの3社は11月2日、メール配信などを委託するアララ株式会社のシステムが不正アクセスを受け、顧客情報の一部が外部に流出した可能性があると共同で発表した。対象は3社合計で約1,490万件とされ、アララで公表済みの約7,700万件の影響が大手小売グループにも及んだ形だ。

概要

今回の事案は、3社のサイト自体が侵害されたものではない。3社の通販サイト自体が侵害されたという発表ではなく、委託先アララのシステムへの不正アクセスに起因するとされる。約1,490万件は3社を合わせた対象件数で、各社別の内訳は発表されていない。

アララとその親会社ペイクラウドホールディングスの発表によると、時系列は次のとおり。

10月28日から30日にかけて、同サービスの2つの環境が第三者に不正利用された。同社は10月29日、不正アクセスが10月28日に確認され、メールアドレス約301万件が外部に持ち出されたと公表した。

10月31日、アララはサービスの提供を全面停止した。

11月2日、アララは第2報を発表した。契約企業の環境のうちサーバー97台で、メールアドレスと会員情報の持ち出しが確認された。

原因について、アララはWebサーバーの脆弱性に加え、システム環境の問題も関係しているとして調査を続けているとされる。

被害・影響の範囲

3社の対象情報は、メールアドレス等とされる。クレジットカードやネット通販サイトにログインするための情報は含まれていないと説明している。「等」の具体的な項目は、確認できた範囲では示されていない。

二次被害は、11月2日の発表時点で具体的な被害は確認されていないとされる。ただし、約1,490万件は流出の可能性がある件数であり、流出が確定した件数ではない。

アララ全体では、約7700万件のメールアドレスが流出したか、その恐れがある。対象の契約企業は最大約380社と推計され、件数には重複を除いた利用者数を示すものではない点がある。3社の件数と、アララ側の件数との関係は、整理されていない。

アララのサービスは悪用もされた。クレジットカード会社を装った不審メールが最大約713万通送信された。

影響は他組織にも広がっている。TKCでは、メールアドレスが最大223万812件含まれていることが判明した。サントリーグループでも、従業員らの氏名とメールアドレスなどが対象になった。

企業・団体の対応

3社の対応として、当該サービスへのデータ連携を停止し、アララと影響範囲を確認している。対象顧客には、各社から案内を行うとされる。

アララは、不正に使われた認証情報の無効化や通信の遮断を実施した。サービス再開の時期は未定で、外部専門機関と調査を進めている。警察にも通報済みとされる。個人情報保護委員会への届出については、確認できた範囲では公表されていない。

不審メールについて、アララは受信した場合は本文中のURLにアクセスせず、削除するよう呼びかけている。リンク先でカード情報などを入力した場合は、速やかにカード発行会社へ連絡するよう案内している。

編集部コメント（読者企業が取るべき対策）

今回の事案は、委託先のメール配信基盤が侵害されると、委託元の顧客情報が大規模に影響を受けることを示している。自社のシステムが無事でも、委託先の事故は自社の事故として扱われる。委託先の利用状況と管理体制を、あらためて点検したい。

利用状況の棚卸し
メール配信サービスの利用状況を一覧にする。契約名義、部門、利用目的、預けている顧客データの項目と件数まで把握しておく。

委託先への確認事項
委託先には、保管データの項目、保管期間、管理画面の認証方式、ログの保存範囲を確認する。事故時の連絡期限と、調査結果の共有方法も取り決めておく。

不要データの削除
配信に使っていない氏名、住所、生年月日などを預けていないか確認する。退会者や長期未利用のアドレスは、定期的に削除する運用を決めておく。

フィッシング対策
今回は、配信基盤が不審メールの送信にも悪用された。自社名を装うメールへの注意を、公式サイトやSNSで早めに周知する。メール内のリンクから個人情報を入力させない旨も、あわせて明記する。

顧客への情報提供
顧客向けの案内では、対象の項目、含まれない情報、問い合わせ先を明確に示す。続報が出るたびに更新できるよう、掲載先と担当部署を事前に決めておく。

なお、各社別の件数、流出した情報の詳しい項目、原因の詳細は現在調査中とされている。今後の続報に注意されたい。

出典

• ビックカメラ 公式企業サイト（お知らせ欄）
• アララ株式会社 インフォメーション一覧
• セキュリティ対策Lab（ビックカメラ・コジマ・ソフマップ共同発表の整理）
• INTERNET Watch（アララ第2報）
• ABEMA TIMES（Yahoo!ニュース）

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから