ラクスルのデータ入稿システムに不正アクセス 印刷データ内の個人情報が漏えいの恐れ｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. ラクスルのデータ入稿システムに不正アクセス 印刷データ内の個人情報が漏えいの恐れ
             

ラクスルのデータ入稿システムに不正アクセス 印刷データ内の個人情報が漏えいの恐れ



ラクスルは11月9日、印刷通販サービス「ラクスル」のデータ入稿に関わるシステムに第三者による不正アクセスがあったと発表した。保管していた顧客の印刷データなどに含まれる個人情報が外部に流出したおそれがあり、対象の件数と範囲は調査中である。注文者以外の第三者の情報も含まれる点が注目される。

概要

ラクスルが運営する「ラクスル」のデータ入稿の処理に関わるシステムが、第三者による不正アクセスを受けた。同社の発表では、システムの認証情報が不正に取得され、保管データの一部に外部からアクセスできる状態にあったとされる。侵入経路の詳細や攻撃者については、公表されていない。

ラクスルの発表によると、時系列は次のとおり。

11月8日0時20分ごろ、不正アクセスが発覚した。

同社は確認後、不正に使われた認証情報を無効化した。11月8日からは入稿を伴う一部のサービスを停止し、原因と影響範囲の調査を進めている。

11月9日午前7時から順次サービスを再開した。同日の発表時点では、「ラクスル パッケージ」「ラクスル Adobe Express連携」、デザイン制作依頼サービス、カタログサイトの停止が続いている。

被害・影響の範囲

漏えいのおそれがある情報は、入稿された印刷データと、請求書やWeb郵便などのデータに記載された氏名、会社名、住所、電話番号、メールアドレスなどである。対象期間は調査中から11月8日までとされる。

印刷データには、注文した顧客だけでなく、名刺やはがきなど印刷物に記載された人の情報が含まれる場合がある。このため、影響を受ける可能性がある人は、ラクスルの利用者に限られない。

クレジットカード情報、ログインID、パスワードは漏えいしていないことを確認したとしている。対象件数は集計中で、公表されていない。

個人情報の不正利用などの二次被害は、現時点で確認されていない。

サービス停止の影響で、データチェックや商品の出荷に通常より時間がかかる場合がある。

なおラクスルは10月16日、ウェブサイト運営に使うクラウドサービス「STUDIO」への不正アクセスに関する別の発表をしている。今回の発表に、この件との関連を示す記載は確認できていない。

企業・団体の対応

ラクスルは、不正に使われた認証情報の無効化、不正アクセスに使われたアカウントの停止、関係するサービスの一時停止などの措置を講じた。原因と影響範囲の調査を進めており、進捗に応じて自社サイトで続報を知らせるとしている。

個人情報保護委員会へは報告する予定としている。警察への届け出については、確認できた範囲では記載がない。

顧客には、同社や関係事業者を装った不審なメール、SMS、電話への注意を呼びかけている。利用者自身の手続きによらず、同社がメールやSMSでパスワードやクレジットカード番号の入力を求めることはないとしている。

編集部コメント（読者企業が取るべき対策）

今回の事案は、認証情報の不正取得をきっかけに、外部の事業者が保管するデータが閲覧可能になったとされる点が重要である。印刷データには名刺や宛名など第三者の情報が含まれやすく、入稿した企業側にも説明責任が生じうる。自社の情報がどの委託先に、どの形で預けられているかを把握しておきたい。

外部サービスへの入稿データの棚卸し
印刷、発送、デザイン制作などの外部サービスに、どの部署がどんな個人情報を入稿しているかを洗い出す。顧客名簿や社員の名刺データを含むファイルは、特に優先して確認する。不要になったデータは、削除を依頼するか、入稿しない運用に改める。

委託先への確認事項
ラクスルを利用している場合は、同社の続報で自社の入稿データが対象かを確認する。委託先にはデータの保管期間、アクセス制御、認証情報の管理方法、事故時の通知時期を問い合わせる。回答は書面などで記録しておく。

認証情報とアカウントの管理
今回は認証情報の不正取得が起点とされる。自社のクラウドサービスや委託先との共有アカウントについて、多要素認証の有無、不要アカウントの停止、パスワードの使い回しを点検する。退職者や異動者のアカウントも定期的に確認する。

フィッシングや詐欺への備え
氏名、住所、電話番号、メールアドレスが漏えいした場合、関係者を装う連絡が増えるおそれがある。パスワードや支払い情報の入力を求める連絡は、既知の連絡先で事実確認するよう、社内に周知する。請求先口座の変更依頼にも注意するよう伝える。

取引先や顧客への情報提供
自社が入稿した印刷物に第三者の情報が含まれる場合は、影響の有無を整理する。対象の可能性があれば、取引先や顧客への連絡内容と時期を、あらかじめ法務や広報と相談しておく。個人情報保護委員会への報告が必要かどうかも、事実関係を踏まえて検討する。

なお、対象件数、対象期間の始点、原因の詳細は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。