小学館が委託先アララへの不正アクセスで会員情報約199万件の漏えいのおそれを発表｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. 小学館が委託先アララへの不正アクセスで会員情報約199万件の漏えいのおそれを発表
             

小学館が委託先アララへの不正アクセスで会員情報約199万件の漏えいのおそれを発表



小学館は11月6日、メール配信業務を委託するアララ株式会社のシステムが第三者による不正アクセスを受け、小学館IDなどの会員情報の漏えいを確認したと発表した。対象は199万3,665件で、委託先経由の被害として大規模な件数となっている。

概要

小学館が利用するアララのメール配信システムで、第三者による不正アクセスが発生した。小学館が管理・運用する小学館IDなどの会員情報の一部が、第三者に漏えいしたおそれがあることが判明したという。日本経済新聞などが11月9日に報じた。

小学館の発表によると、時系列は次のとおり。

10月28日、小学館はアララのメール配信システムへの会員情報連携を停止した。

11月2日、アララから小学館の利用環境が情報流出の対象に含まれるとの連絡があった。ただし、この時点では具体的な流出経路や、小学館の個人情報が漏れたと裏付ける技術的根拠は示されていなかった。

11月5日、漏れたデータの中に小学館が委託した個人情報があったことを確認した。11月6日、小学館がこの内容を公表した。

委託先であるアララ側の発表は次のとおり。アララは10月28日に不正アクセスを確認し、31日にサービスを停止した。その後の調査で影響範囲は第1報を大きく上回り、11月2日の第2報と6日の第3報で内容が改められた。不正アクセスにはWebサーバの脆弱性やシステム環境の問題が関係していたとされる。第3報の時点で、侵入経路は特定されていないとされる。

被害・影響の範囲

漏えいした可能性があるのは、メールアドレス、生年月日、性別、ニックネームなどである。クレジットカード情報は流出していない。小学館は、199万3,665件を流出した可能性のある情報および件数としている。すべての件数について、第三者への流出が個別に確認されたわけではない。

対象者には、仮登録者や現在の小学館ID会員以外が含まれる可能性がある。199万件は現在の会員数を示すものではない。一人ひとりの情報の持ち出しの程度は、引き続きアララに報告を求めている。

現時点で、具体的な二次被害は確認されていない。

アララ全体では影響が広がっている。持ち出されたメールアドレスは重複を除いて81,329,467件で、対象となる契約企業は最大約380社と推計されている（精査中）。産経新聞は、三井不動産、ビックカメラグループ、ダスキン、ワークマン、江戸川区、大阪府などでも被害が確認されたと報じている。

企業・団体の対応

小学館は、アララのメール配信システムへの会員情報連携を10月28日に停止した。利用者には、不審なメールなどに注意するよう呼びかけている。

アララには詳細調査を求めており、関係機関への対応も進めているとされる。小学館の個人情報保護委員会への届出の有無は、確認できた範囲では公表されていない。

アララは対応を次のとおり説明している。10月31日にすべてのサービスを停止した。警察、個人情報保護委員会、総務省関東総合通信局などにも報告している。再開にあたっては、侵入経路への対策、外部専門機関による安全性の確認、契約企業の認証情報の再設定を経て判断するとしている。

編集部コメント（読者企業が取るべき対策）

今回の事案では、配信業務を委託しただけでも、メールアドレス以外の会員属性が流出するおそれがあることが示された。自社の環境が対象と分かった後も、実際の漏えいデータが確認されるまでに数日を要している。委託先の事故を前提に、渡している情報の範囲と連絡体制を平時から確認しておきたい。

委託先へ渡す情報の棚卸し
メール配信に必要なのは宛先アドレスだけの場合が多い。生年月日、性別、氏名などを渡していないか、項目ごとに確認する。不要な項目は連携対象から外す。

委託先への確認事項
事故発生時の連絡期限と報告内容を、契約や運用ルールで確認する。対象件数、情報項目、侵入経路をどの段階で共有してもらえるかも決めておく。複数の委託先を使う場合は、一覧表で管理する。

連携停止の手順
小学館は、連絡を受ける前の10月28日に連携を停止していた。委託先とのデータ連携を即時に止められる手順と担当者を決めておく。停止中も止められない通知メールは、代替の送信経路を用意しておく。

フィッシング対策
アララの送信元を使った詐欺メールが713万通送られたとされる。利用者へ、心当たりのないメールのURLを開かず、情報を入力しないよう周知する。自社が正規に送るメールの種類や送信元も案内しておく。

保有データの整理
199万件には仮登録者など現在の会員以外が含まれる可能性がある。退会者や仮登録者のデータを長期間保持していないか見直す。保有期間を定めて削除すれば、事故時の影響を抑えられる。

なお、小学館の対象者ごとの詳細、アララの侵入経路、影響を受ける契約企業の最終的な数は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。