日産フィナンシャルサービス委託先の不正アクセスで顧客情報最大23万6,000件が漏えいか｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. 日産フィナンシャルサービス委託先の不正アクセスで顧客情報最大23万6,000件が漏えいか
             

日産フィナンシャルサービス委託先の不正アクセスで顧客情報最大23万6,000件が漏えいか



日産フィナンシャルサービスは11月6日、業務委託先への不正アクセスにより、最大約23万6,000件の顧客情報が漏えいした可能性があると発表した。委託先はロードサービスの受付や手配を担う会社で、同時期にロードサービス業務の受託会社で最大約550万件の流出が公表されており、その関連が注目される。

概要

日産自動車の子会社で車のリース事業などを手がける日産フィナンシャルサービスは、最大でおよそ23万6,000件の顧客情報が漏えいした可能性があると発表した。不正アクセスを受けたのは、ロードサービスの受付や手配を委託している会社の業務システムとされる。日産フィナンシャルサービス自身のシステムが侵害されたとは発表されていない。

TBSの報道などによると、時系列は次のとおり。

10月29日、委託先が不正アクセスを検知し、調査を行った。

11月4日、調査の結果、顧客情報が外部に持ち出された可能性が確認された。

11月6日、日産フィナンシャルサービスが発表した。

原因や侵入経路は、確認できた範囲では公表されていない。委託先の社名も、確認できた報道では示されていない。

関連する動きとして、ロードサービス事業を手掛けるプレステージ・インターナショナルは11月2日、不正アクセスで顧客の個人情報が最大約550万件流出したと発表した。10月29日にグループの業務システムで不正アクセスを検知し、子会社のプレステージ・コアソリューションが受託する業務の顧客情報が持ち出された。日産フィナンシャルサービスの委託先がこの会社かどうかは、同社の公式発表を確認できていないため断定しない。なお、民間の漏えい事案一覧では、同社の事案がプレステージ・コアソリューション関連として整理されている。

被害・影響の範囲

漏えいした可能性があるのは、氏名、住所、電話番号、メールアドレス、車両情報、事故や故障の受付履歴で、最大およそ23万6,000件とされる。

クレジットカードや銀行口座の情報は含まれておらず、現時点で二次被害は確認されていないという。重複を除いた実人数や、対象となる契約の内訳は、確認できた範囲では示されていない。

委託先はシステムの利用を停止しているが、代替システムでロードサービスは続けているという。

影響は他の組織にも広がっている。損害保険ジャパンは11月5日、業務委託先への不正アクセスで顧客の個人情報が約6万5,000件漏えいした可能性があると発表した。ENEOSやJA共済連、ソニー損保なども、プレステージ・コアソリューションを委託先とする案件への影響を公表している。

企業・団体の対応

日産フィナンシャルサービスは、顧客情報が漏えいした可能性を公表した。報道では、同社が二次被害の有無を確認していることが伝えられている。

技術的な措置としては、委託先がシステムの利用を停止し、代替システムでサービスを継続している。

利用者への個別連絡の方法、問い合わせ窓口、警察や個人情報保護委員会への届け出の状況は、確認できた報道では触れられていない。これらは同社の公式発表で確認する必要がある。

編集部コメント（読者企業が取るべき対策）

今回の事案は、自社のシステムが無事でも、委託先が侵害されれば顧客情報が漏れることを示している。ロードサービスのような受付業務は、氏名や車両情報、事故の状況まで預けることが多い。委託先の管理を、契約時の確認だけで終わらせてはならない。

委託している業務と預けた情報の棚卸し
委託先ごとに、預けている個人情報の項目、件数、保管場所を一覧にする。再委託先がある場合は、そこまで把握する。

委託先への確認事項の整理
委託先で事故が起きた場合に、いつまでに誰へ連絡するかを契約や運用手順で決めておく。ログの保全、侵害範囲の調査、公表時の役割分担も事前に確認する。

認証情報の管理状況の確認
同じ時期の関連事案では、不正に使われた認証情報を無効化した後も不正アクセスが続いたとされる。委託先に、多要素認証の導入状況、特権アカウントの管理、不審なログインの監視体制を確認する。

顧客への情報提供とフィッシング対策
漏えいの可能性が判明した時点で、対象者への案内文と問い合わせ窓口を用意できるようにしておく。車両情報や受付履歴が漏れた場合は、保険会社やロードサービスを装った連絡が想定される。電話やメールで暗証番号などを尋ねないことを、あらかじめ顧客に周知しておく。

委託先管理の見直し
自社に直接の被害がなくても、委託先の事案が報じられた時点で、同じ委託先や同種の業務を使っていないかを確認する。取引先が公表した対象範囲と、自社の対象範囲は異なる場合がある。公表文書は、自社分について個別に確認する。

なお、委託先の特定、原因、実際に持ち出された件数と人数は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。