ステップゴルフで不正アクセス、会員ら約11万4,000件の個人情報が漏えいした可能性が高い｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. ステップゴルフで不正アクセス、会員ら約11万4,000件の個人情報が漏えいした可能性が高い
             

ステップゴルフで不正アクセス、会員ら約11万4,000件の個人情報が漏えいした可能性が高い



ゴルフスクールを運営するステップゴルフは11月11日までに、予約システムなどが不正アクセスを受け、退会者を含む会員ら11万4000件あまりの個人情報が流出した可能性が高いと発表した。11月7日の第一報では最大21万5,000件とされており、報道ベースで件数が約11万4,000件に示された点が注目される。

概要

ステップゴルフは、インドアゴルフスクール「STEPGOLF」を運営している。同社の業務システムおよび予約システムで第三者による不正アクセスが確認され、会員や関係者の個人情報が外部に漏えいした可能性が極めて高いことが判明したという。原因や侵入経路は、公表されていない。

同社が11月7日に出したお知らせ（第一報）によると、時系列は次のとおり。

11月5日、同社は自社システムで異常な処理を検知し、調査で第三者による不正アクセスが判明した。

過去のアクセス記録を調べたところ、10月23日と25日にも不正アクセスがあった。個人情報を含むデータベースのバックアップファイル等が外部に漏えいした可能性が極めて高いと確認された。

同社は11月7日にこの内容を発表した。11月11日には、件数を約11万4,000件とする内容が各社で報じられた。この11月11日分の公式発表ページは、確認できていない。

被害・影響の範囲

TBS NEWS DIGによると、流出した可能性があるのは、退会者を含む会員の氏名や住所、電話番号など11万4605件、顔写真の情報10万7781件、金融機関の口座番号や名義などの情報1万2707件である。

第一報では、漏えいの可能性がある項目として、氏名、住所、生年月日、電話番号、メールアドレス、口座振替情報、契約状況、予約履歴、購入履歴、レッスンカルテ、顔写真、要配慮個人情報が挙げられた。銀行口座情報は暗号化されていなかった。

クレジットカード情報や本人確認書類は保有していなかったとされる。

第一報の対象は、無料体験の申込者と現在・過去の会員で、データは最大21.5万件だった。TBSの見出しは最大23万件としているが、その根拠は確認できていない。

現時点で、本件に起因する具体的な二次被害は確認されていない。他の組織への影響は、公表されていない。

企業・団体の対応

同社は、会員、加盟店、取引先などの関係者に対し、お詫びを表明している。個人情報保護委員会へ報告し、警察に相談している。

被害拡大の防止に取り組むとともに、外部のセキュリティ専門機関に調査を依頼し、原因の究明と影響範囲の特定を進めている。

専用の問い合わせ窓口を準備しており、11月10日をめどに続報を掲載するとしていた。技術的な再発防止策の詳細は、確認できていない。

編集部コメント（読者企業が取るべき対策）

今回の事案では、顔写真や銀行口座情報を含むバックアップファイルが流出した可能性が高いとされる。退会者の情報も対象に含まれた点、口座情報が暗号化されていなかった点は、多くの企業に当てはまりうる課題である。保管しているデータの種類と期間を点検し、被害を小さくする備えを進めたい。

保有データの棚卸し
予約、会員、決済など、各システムに保管する個人情報の項目と保管場所を一覧にする。バックアップファイルや退会者のデータも対象に含める。

口座情報などの暗号化
口座番号や顔写真など機微な項目は、暗号化やアクセス制限の状況を確認する。口座情報は、可能なら外部の決済事業者に預けて自社で保持しない方法も検討する。

不要データの削除ルール
退会後の保管期間を定め、期限を過ぎたデータは削除する。無料体験の申込者の情報も、同じ基準で管理する。

異常検知とログ保全
今回は検知の12日前から不正アクセスがあったとされる。大量のデータ持ち出しを検知する仕組みを整え、過去のアクセス記録を長めに保存する。

顧客への情報提供と窓口整備
漏えいが疑われた際に、対象者へ速やかに知らせる手順を用意する。フィッシングなどの二次被害を防ぐため、注意喚起の文面や問い合わせ窓口を事前に準備する。

なお、原因、侵入経路、最終的な漏えい件数は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。