良品計画が無印良品ネットストアでのリスト型攻撃を発表、約27万件で不正ログインの可能性｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. 良品計画が無印良品ネットストアでのリスト型攻撃を発表、約27万件で不正ログインの可能性
             

良品計画が無印良品ネットストアでのリスト型攻撃を発表、約27万件で不正ログインの可能性



良品計画は11月9日、11月6日16時から一時停止している「無印良品ネットストア」の再開を延期すると発表した。一連の情報漏えいの第四報で、ネットストアへのリスト型攻撃と、代金引換配送の受取先約44万件への不正アクセスが新たに明らかになった。

概要

良品計画は第四報で、ネットストアに対するリスト型攻撃を確認したと公表した。外部で不正に入手された可能性のあるID・パスワードを用いた大量のログイン試行が確認され、一部の利用者アカウントで第三者による不正ログインが行われた可能性が判明したという。件数は約27万件とされる。

同社は、さらなる不正アクセスを重く受け止め、総合的なセキュリティ強化と安全性の確認が必要と判断した。これがネットストアの再開延期につながった。

良品計画の発表によると、時系列は次のとおり。

10月30日、公式アプリ「MUJIアプリ」への不正アクセスにより、メールアドレス、生年月日、性別が最大約2,726万件（退会者を含む）流出した可能性があると発表した。外部からの不正なアクセスを検知し、該当箇所の遮断と修正を行ったとされる。原因や侵入経路の詳細は、公式発表に記載がないと報じられている。

11月2日、不正アクセスによりオーダーカーテンの注文者の情報1万9933件が流出した可能性があると発表した。この件は、オーダーカーテン業務の委託先が利用するサーバーへの不正アクセスによるものとされる。

11月4日の第二報では、対象にMUJIアプリを利用していないネットストア会員も含まれること、一部は氏名、住所、電話番号を含むこと、一部のクレジットカード情報も外部からアクセスされた可能性があることを公表した。

11月6日の第三報で、ネットストアを一時停止し、MUJIアプリも会員証バーコード表示を除く全機能を停止した。当時は1〜2日以内を目途に再開予定としていた。

11月9日の第四報で、リスト型攻撃の確認と再開延期を公表した。

被害・影響の範囲

リスト型攻撃で流出した可能性がある情報は、メールアドレスや生年月日、氏名・住所・電話番号、購入履歴・ポイントなど。この情報を悪用した被害は、現時点で確認されていないという。

代金引換配送では、2020年1月2日から2025年2月10日までの間に受取先になった顧客の氏名、郵便番号が約44万件、不正アクセスを受けた可能性がある。対象は店舗とECサイトの双方である。

既に発表した件数も見直された。氏名・住所・電話番号を含む情報は、最大約2726万件のうち52万件程度としていたが、75万件程度に変更された。

11月4日の第二報では、MUJI Cardのカード番号全桁約109万件にも外部からアクセスされた可能性が判明している。ただし、カード番号の外部持ち出しや不正利用が全件で確認されたという発表ではない。

企業・団体の対応

ネットストアの再開は延期され、再開時期は、必要な対策と確認を行ったうえで、あらためて知らせるとしている。再開時には、全員にパスワードの再設定を依頼する方向で準備を進めている。その際は、他社サービスとは異なるパスワードを設定するよう呼びかけている。

対象の顧客には11月10日から、良品計画とクレディセゾンがメールまたは郵送で順次個別に連絡する。

NHKは、他のサービスから不正に入手したメールアドレスとパスワードを使ったリスト型攻撃を受けたと報じている。良品計画は11月12日に記者会見を開き、清水智社長らが説明する予定と報じられている。

警察や個人情報保護委員会への届出については、確認できた範囲では公式発表に記載がなかった。

編集部コメント（読者企業が取るべき対策）

今回の事案では、アプリへの不正アクセスに続き、ネットストアでもリスト型攻撃が確認された。調査の進展に伴い、対象範囲も段階的に広がっている。読者企業は、自社の会員サイトやアプリでも、認証への攻撃と情報流出が重なって起きうると想定しておく必要がある。

ログイン試行の監視
同一IPアドレスや同一端末からの大量の失敗、短時間に複数アカウントへ試行が集中する動きなどを検知する仕組みを整える。しきい値を超えた場合に自動でブロックや追加認証を行う運用も、あらかじめ決めておく。

多要素認証の導入
パスワードだけに頼らない認証を、会員向けサービスに導入する。通常と異なる環境からのログイン時にメール通知やワンタイムパスワードを求めるなど、段階的な対策から始められる。

パスワードの使い回し対策
他社サービスと異なるパスワードを設定するよう、利用者に繰り返し案内する。漏えいが疑われる場合は、全利用者へのパスワード再設定を求める手順と、問い合わせ窓口の体制を事前に用意しておく。

保有データの棚卸し
数年前の代引き配送先情報や退会者情報のように、長く保管している個人データがないか確認する。不要なデータは削除し、保管期間のルールを定めておく。

被害範囲の段階的な公表への備え
調査の進展により、対象件数や情報項目が後から変わる場合がある。公表の窓口と更新の手順を決めておき、訂正が出た際は、何が変わったのかを利用者に分かりやすく伝える。

なお、一連の事案の原因や侵入経路は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

No related posts.

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。