FABRIC TOKYOは11月11日、検証用システムで使っていたアクセスキーが外部委託先から流出した可能性が高く、第三者による不正アクセスを確認したと発表した。対象は2021年5月から7月の予約データに含まれる699名分で、会員登録や購入に使う本番用システムへの侵入はないとしている。

概要

FABRIC TOKYOが利用する検証用システムが外部から不正アクセスを受け、一時保管されていた過去の予約データが第三者に閲覧・取得された可能性があることが判明した。アクセスキーが外部委託先から流出した可能性が高いとされるが、流出経路の詳細は調査中である。

FABRIC TOKYOの発表によると、時系列は次のとおり。

10月29日、検証用システム内に一時保管されていた過去の予約データが閲覧・取得された可能性がある。

11月2日、同社は事象を把握し、その日のうちにアクセスキーを無効化して外部からの不正アクセスを遮断したとされる。

11月11日、同社は事案を公表した。個人情報保護委員会への速報も完了したと説明している。

外部委託先の名称や、委託先による発表の有無は、確認できた範囲では公表されていない。

被害・影響の範囲

対象となるのは、2021年5月から7月の予約データに含まれていた情報で、対象人数は699名である。

対象項目は、予約時に入力された氏名、メールアドレス、電話番号、予約日時である。メールアドレスと電話番号は、対象者の一部の情報とされる。

クレジットカード情報、決済情報、ログインパスワード、アカウントの登録情報（採寸データ・購入履歴等）は含まれていないという。お客さまサービスに利用している本番用システムへの侵入の事実はないとしている。

流出した情報が悪用された事実は、11月11日時点で確認されていない。

なお、同社のお知らせ一覧には、10月19日付でWebページ制作サービス「Studio」に関する別の不正アクセスの案内もある。今回の事案との関係は、確認できた範囲では示されていない。

企業・団体の対応

同社は11月2日のうちにアクセスキーを無効化し、外部からの不正アクセスを遮断した。11月11日の公表とあわせて、個人情報保護委員会への速報を済ませたと説明している。

原因究明と再発防止の面では、詳細な侵入経路の検証を進めている。あわせて、アクセス制御の強化と監視体制の徹底を図るとしている。

公式発表には、予約データ内にメールアドレスの記載があった方に限るとの注記が付いた対応項目もある。個別連絡の具体的な方法と時期は、本稿の執筆時点で確認できていない。警察への届出の有無も、確認できた範囲では公表されていない。

編集部コメント（読者企業が取るべき対策）

今回の事案は、本番環境ではなく、検証用システムに残っていた古い予約データが狙われた点が特徴である。検証環境にも実データが残り、委託先で管理されるアクセスキーが侵入口になりうることを、改めて示した。

検証環境のデータ棚卸し
検証用や開発用の環境に、本番由来の個人情報が残っていないかを確認する。不要なデータは削除し、必要な場合は氏名や連絡先をマスキングしたデータに置き換える。

アクセスキーの管理と失効
アクセスキーが、どの委託先や担当者の手元にあるかを一覧にする。定期的なローテーションと、委託契約終了時の失効手順を決めておく。

委託先への確認事項
委託先に、認証情報の保管場所、共有方法、持ち出しの可否を確認する。流出が疑われたときに、速やかに連絡を受ける体制も契約で定めておく。

ログ監視と異常検知
検証環境でも、通常と異なる時間帯や接続元からのアクセスを検知できるようにする。今回は10月29日の閲覧から把握まで数日かかったとされるため、ログの確認頻度も見直したい。

顧客への情報提供とフィッシング対策
氏名、メールアドレス、電話番号が含まれる場合は、フィッシングメールやSMSへの注意を顧客に呼びかける。問い合わせ窓口と、正規の連絡手段を明示しておくと、顧客の混乱を抑えやすい。

なお、流出経路の詳細や、実際に取得された情報の範囲は現在調査中とされている。今後の続報に注意されたい。

出典

• FABRIC TOKYO（公式発表）
• FABRIC TOKYO お知らせ一覧
• ひまなねこのひまつぶし
• セキュリティ対策Lab

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから