学研ホールディングスが委託先アララ経由で17社79万件超の漏えいを確認｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. 学研ホールディングスが委託先アララ経由で17社79万件超の漏えいを確認
             

学研ホールディングスが委託先アララ経由で17社79万件超の漏えいを確認



学研ホールディングスは11月9日、委託先アララのメール配信サービスへの不正アクセスについて第二報を公表し、グループ17社で計79万3,060件の情報漏えいを確認したと発表した。11月5日の第一報では、対象の会社・サービス、漏えい件数、情報の項目は明らかにされていなかった。今回、規模と対象会社の範囲が初めて示された。

概要

学研グループがメール配信等を委託するアララ社のサービスで不正アクセスが発生し、グループが保有する顧客の個人情報の一部が漏えいしたとの報告を学研が受けた。今回の事案は、学研グループの各社システムがそれぞれ攻撃されたものではなく、共通の外部メール配信サービスを介して複数のグループ会社に影響が生じたものである。

学研の発表によると、時系列は次のとおり。

11月5日、学研は第一報を公表した。グループ会社のサービスで不正アクセスが発生し、漏えいの詳しい状況や影響範囲をアララと連携して調査しているとした。

11月9日、学研は第二報を公表した。調査の結果、グループ17社で合計79万3,060件の情報漏えいを確認した。

アララ社の発表では、不正アクセスの経過は次のとおり。10月27日から31日にかけて被害が発生し、初報は10月29日、第2報は11月2日に公表された。サービスは10月31日19時53分に全面停止された。原因については、既報のWebサーバーの脆弱性に加え、システム環境の問題も関係していたと改められた。

アララ社は11月6日に第3報を公表した。持ち出されたメールアドレスは、各区分間の重複を除き8,132万9,467件となった。

被害・影響の範囲

漏えいした情報は主にメールアドレスである。要配慮個人情報に該当する項目は確認されておらず、クレジットカード番号は同サービスに連携しておらず、流出もないとしている。学研は、現時点で二次被害は確認されていないとしている。

件数は情報の件数であり、被害人数を示すものではない。対象にはGakken、学研エデュケーショナル、創造学園、イング、文理などが含まれる。このほか、学研メディカルサポート、学研ココファン、メディカル・ケア・サービスなど医療・介護関連の会社も含まれる。

17社それぞれの件数やサービス別の影響範囲は、調査中とされている。アララ社の全体集計は学研分の件数ではなく、両者を単純に比較することはできない。

アララ社の影響は他の組織にも広がっている。小学館も影響先の一つで、対象の契約企業は最大約380社と推計されている。

企業・団体の対応

学研グループは事案の把握後、当該サービスへのデータ連携を停止し、別の配信方法に切り替えるなどの対応を実施した。アララ社と影響範囲の調査を続けている。

調査完了後、各社のコーポレートサイトで個別サービスへの影響の有無や範囲を順次案内するとしている。

利用者への注意喚起も出している。グループを装った不審メールが届く可能性があるとして、本文のURLへのアクセス、添付ファイルの開封、個人情報の入力や返信をしないよう呼び掛けている。

警察や個人情報保護委員会への届出について、確認できた範囲の公表資料には記載が見当たらなかった。

アララ社は、再開の判断を、侵入経路の特定、認証情報の全面的な変更、安全性の確認等を行ったうえで行うとしている。

編集部コメント（読者企業が取るべき対策）

今回の事案は、委託先1社の侵害が、多数の利用企業の顧客情報に同時に影響した例である。自社のシステムが無事でも、委託先が侵害されれば顧客のメールアドレスは漏えいし得る。委託先に預けているデータの範囲を、平時から把握しておく必要がある。

委託先サービスの利用状況の棚卸し
グループ会社や部門ごとに、メール配信などの外部サービスを個別契約している場合がある。契約名義、連携しているデータ、対象のブランドやサービスを横断して洗い出す。把握できていなければ、有事に全体の影響範囲を示せない。

委託先への確認事項
委託先に預けているデータの項目と件数、保管期間を確認する。事故時の報告期限、ログの提供範囲、再開時の認証情報の再設定手順も、契約上で取り決めておく。

預けるデータの最小化
配信に不要な属性情報は連携しない。配信ログには、メールアドレスのほか、差し込み項目として設定した氏名などが含まれる例もある。利用を終えたサービスのデータや古い配信ログは、削除の要否を定期的に見直す。

フィッシング対策
アララ社を名乗る不審メールの例も確認されており、クレジットカード会社を装ったメールが最大約713万通送信されたと公表されている。自社ドメインのSPF、DKIM、DMARCを整備する。従業員と顧客には、本文のリンクを開かず、公式サイトや公式アプリから確認するよう案内する。

顧客への情報提供
漏えいの可能性がある場合は、判明した範囲を段階的に公表し、件数が人数ではないことも明記する。問い合わせ窓口と、不審メールを受け取った際の対応を併せて示す。第一報の時点で、取るべき行動を伝えることが重要である。

なお、17社それぞれの件数やサービス別の影響範囲、アララ社の侵入経路の詳細は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。