江戸川区がアララへの不正アクセスでマイナカード予約者のメールアドレス漏えいの可能性を公表｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. 江戸川区がアララへの不正アクセスでマイナカード予約者のメールアドレス漏えいの可能性を公表
             

江戸川区がアララへの不正アクセスでマイナカード予約者のメールアドレス漏えいの可能性を公表



江戸川区は11月5日、メール配信サービス「アララメッセージ」への不正アクセスにより、区の委託事業の情報が漏えいした可能性があると発表した。対象はマイナンバーカードの交付予約・管理システムで、対象件数は受託者が調査中であり、区の事業分が流出情報に含まれるかも確認中とされる。

概要

アララ株式会社が運営する「アララメッセージ」が不正アクセスを受け、個人情報が漏えいする事案が発生した。区の委託事業でこのサービスを利用していることが判明したため、区が公表した。対象事業は「マイナンバーカード交付予約およびカード管理システム利用委託」のメール配信サービスである。

江戸川区の発表によると、時系列は次のとおり。

10月31日、アララ株式会社がメール配信サービス等を停止した。同日、受託者より区に、サービスの停止について連絡があった。

11月2日、アララ株式会社が不正アクセスの発生と情報漏えいを公表した。受託者から区に、31日の停止が不正アクセスの影響によるものであることと、情報漏えいの可能性が連絡された。

11月3日、区はマイナンバーカード受け取り予約サイトで、予約完了メールの配信停止のお知らせを掲出した。11月5日、区が本件を公表した。

アララ側の発表では、同社は10月28日に不正アクセスを確認し、11月2日の第2報で被害を3つの区分に整理した。原因は、第1報ではWebサーバーの脆弱性とされた。第2報では、これに加えてシステム環境における問題も関係していたと更新された。侵入の開始時期と経路は調査中とされる。

アララの親会社ペイクラウドホールディングスは11月2日の第2報で、契約企業のサーバー97台で情報の持ち出しが確認され、対象企業は最大約380社と推計されると公表した。

被害・影響の範囲

区が示した漏えいの可能性がある情報は、マイナンバーカードの受け取りをインターネットで予約した方のメールアドレスである。氏名や住所など、ほかの項目が対象に含まれるかは区の発表に記載がない。マイナンバーそのものの漏えいについても、区は言及していない。

対象件数は、受託者が調査中である。区は2021年から同サービスを利用している。ただし、流出した情報に区の事業に関するものが含まれているかは不明とされ、受託者が確認している。二次被害の有無は、区の発表では示されていない。

影響は区にとどまらない。同じ予約システムを使う他の自治体でも、同様の公表が相次いでいる。三重県の津市と伊勢市では、システム会社がメール配信を委託するアララの被害を受け、予約完了メールの自動送信を停止した。

アララ全体では、持ち出されたメールアドレスは約7,700万件とされる。重複の可能性があるため、最終ユーザー数を示すものではない。この件数は精査中で、今後変わる可能性がある。

企業・団体の対応

区は11月3日から、予約サイトに予約完了メールの配信停止を掲示している。メール配信サービスは、発表時点でも停止が続いている。区は受託者に対しても、事案の詳細、区への影響、今後の対応について確認を進めているとされる。

区は利用者に、不審なメールへの注意も促している。アララのサービスが不正利用され、送信元「news@arara.com」からクレジットカード会社を装ったメールが送信されている。受信した場合は、URLにアクセスせず削除するよう求めている。

アララ側の対応として、外部の専門機関と連携した調査、認証情報の全面変更、システムの再構築、監視体制の強化などが示されている。警察や個人情報保護委員会への届出について、区の発表には記載がない。

編集部コメント（読者企業が取るべき対策）

今回の事案は、自社が直接契約していない再委託先の障害が、自社の顧客情報の漏えいに波及した例である。区は受託者からの連絡で、初めて影響の可能性を把握した。メール配信のような周辺サービスも、委託の連鎖の中で棚卸しの対象に入れる必要がある。

利用状況の棚卸し
自社が使うシステムやSaaSが、どのメール配信サービスを使っているかを洗い出す。契約書や仕様書に再委託先が書かれていない場合は、委託先に書面で照会する。

委託先への確認事項
委託先には、対象件数、漏えいした項目、自社分が含まれるかの判定時期を確認する。連絡を受ける窓口と、連絡までの目標時間も取り決めておく。

フィッシング対策
流出したメールアドレスは、なりすましメールの送信先に使われるおそれがある。社内外に注意喚起を出し、本文中のURLを開かず、公式サイトのブックマークからアクセスするよう周知する。

顧客への情報提供
メールが止まった間の代替連絡手段を、早めに案内する。予約の確認方法や問い合わせ先を、サイトや窓口で明示しておく。

委託先管理の見直し
メール配信基盤の停止に備え、代替手段への切り替え手順を決めておく。認証情報の定期変更や、委託先の脆弱性対応状況の報告も、契約や運用に盛り込む。

なお、対象件数、区の事業分の流出有無、侵入経路は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。