GMOペイメントサービス、委託先のアララ経由で最大10万6,997件の個人情報が漏えい｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. GMOペイメントサービス、委託先のアララ経由で最大10万6,997件の個人情報が漏えい
             

GMOペイメントサービス、委託先のアララ経由で最大10万6,997件の個人情報が漏えい



GMOペイメントサービスは11月5日、委託先がメール配信に利用していたアララのサービス「アララメッセージ」が不正アクセスを受け、顧客の個人情報が外部に漏えいしたと発表した。対象は最大10万6,997件で、同社自身のシステムは侵害されていないとしている。

なお、GMOペイメントサービスの公式発表ページは検索では確認できなかった。同社の発表内容は、セキュリティ対策Labの報道に基づく。

概要

メール配信を行っていたのは、GMOペイメントサービスの委託先である弁護士法人Martial Artsである。不正アクセスが確認されたのは外部のメール配信サービスであり、GMOペイメントサービスは自社システムおよびサービスへの影響はないと説明している。

GMOペイメントサービスの発表によると、同社に固有の詳しい時系列は、確認できた範囲では公表されていない。アララ側の公表内容から、全体の経緯は次のとおり。

10月27日から28日にかけて、共用環境への不正アクセスとデータの持ち出しが発生した。10月28日には不正メール送信を確認し、対象の共用サーバーをネットワークから切り離した。

10月28日から31日には、配信基盤のサーバーを経由して契約企業向けのサーバー97台に侵入し、データベースから情報が持ち出された。10月31日には認証情報の失効と通信遮断を実施し、19時53分までにサービスを全面停止した。

親会社のペイクラウドホールディングスは11月2日、第2報を発表した。この発表で、契約企業向けのサーバー97台からも情報が持ち出され、約7,700万件のメールアドレスが流出したか、その恐れがあるとされた。

GMOペイメントサービスの委託先がどちらの環境で被害を受けたかは、確認できた範囲では明らかになっていない。

被害・影響の範囲

漏えい対象は、次の2区分とされる。最大件数の合計は10万6,997件で、うち最大5,771件に氏名、請求金額、購入・利用店舗、商品などの情報が含まれる。

メールアドレスのみの区分は最大10万1,226件である。請求関連情報を含む区分には、メールアドレス、氏名、請求金額、請求内容、問い合わせ番号、通知内容が含まれる。

クレジットカード番号などの情報が含まれるかどうかは、確認できた範囲では記載がない。二次被害の有無についても、確認できた範囲では公表されていない。

影響はGMOペイメントサービス以外にも広がっている。GMOイプシロンは11月5日、加盟店などのメールアドレス24,645件が流出したと発表した。三井住友銀行も、顧客のメールアドレス22万7,000件あまりが漏えいしたと発表している。

アララ側では約713万通の不審メールが送信されたと発表されている。

企業・団体の対応

GMOペイメントサービスは、自社システムとサービスに影響はないと説明している。警察や個人情報保護委員会への届出、対象者への個別連絡の方法については、確認できた範囲では記載がない。

アララは、受信者に対し、本文中のURLにアクセスせず、メールを削除することなどを呼びかけている。

アララメッセージは10月31日から停止中である。

編集部コメント（読者企業が取るべき対策）

今回の事案では、決済代行会社自身のシステムは無事でも、委託先が使う外部のメール配信サービスから顧客情報が漏れた。自社の管理が及ばない再委託先や外部SaaSも、情報漏えいの経路になり得る。委託先がどこに何のデータを預けているかを把握しておくことが重要である。

利用状況の棚卸し
自社と委託先が使うメール配信サービスを洗い出し、アララ関連のものがないか確認する。直接の契約がなくても、マーケティングツールの裏側で使われている例がある。

委託先への確認事項
委託先に対し、再委託先や外部SaaSの名称、預けているデータの項目と件数を書面で確認する。事故発生時の報告期限と連絡経路も、契約で定めておく。

預託データの最小化
メール配信に必要な情報だけを預け、請求内容や問い合わせ番号などは預けない運用にする。不要になった配信ログは、保持期間を決めて削除する。

フィッシング対策
請求内容に触れたメールは、通常の迷惑メールより本物らしく見える。顧客や従業員に、本文のURLを開かず、公式の窓口や公式アプリから確認するよう周知する。自社ドメインの送信ドメイン認証も見直しておく。

顧客への情報提供
漏えいの対象項目と件数を、メールアドレスのみの場合と請求情報を含む場合に分けて把握する。顧客には、確認できた範囲を早めに知らせ、問い合わせ窓口を明示する。

なお、アララ側の被害範囲の精査とGMOペイメントサービスへの影響の詳細は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。