東京ガスで委託先アララへの不正アクセスにより利用者メール8万5,565件が流出｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. 東京ガスで委託先アララへの不正アクセスにより利用者メール8万5,565件が流出
             

東京ガスで委託先アララへの不正アクセスにより利用者メール8万5,565件が流出



東京ガスは11月12日、メール配信の委託先アララへの不正アクセスにより、「ガス本管埋設状況確認サービス」に登録していた利用者のメールアドレス8万5,565件が外部に流出したと発表した。アララの事案は被害が約8,132万件規模に広がっており、東京ガスはその影響を受けた企業の一つとなる。

概要

東京ガスは、アララ社のメール配信サービス「アララメッセージ」への第三者による不正アクセスにより、「ガス本管埋設状況確認サービス」に利用者登録されたお客さまのメールアドレス情報が外部に流出したことを確認した。東京ガス自身のシステムが侵害されたとは発表されておらず、流出元は委託先の配信基盤とされる。

東京ガスの発表によると、時系列は次のとおり。

11月10日、アララ社より当該のお客さま情報が外部に流出したとの報告を受けた。

11月12日、東京ガスが流出を公表した。同日、ガス本管埋設状況確認サービスのサイトにも、お客さま向けのお知らせが掲載された。

委託先であるアララ側の発表は次のとおり。アララは10月29日付の第1報以降の調査で、影響の範囲が第1報を大きく上回ることが判明し、11月2日付の第2報と11月6日付の第3報で内容を改めた。同社の第3報によると、不正ログインと持ち出しは10月28日で、10月27日は偵察とみられるアクセスだった。アララメッセージは10月31日から停止している。

アララの11月2日付発表では、原因としてWebサーバーの脆弱性などが挙げられているとされる。東京ガスの発表では、侵入経路の詳細は示されていない。

被害・影響の範囲

流出した情報は、2023年5月時点でガス本管埋設状況確認サービスに利用者登録をしていたお客さまのメールアドレスで、件数は85,565件。氏名、住所、電話番号、会社名などの情報は含まれていないとされる。

東京ガスの発表で対象に挙げられているのは、このサービスの利用者に限られる。家庭向けのガスや電気の契約者は、対象として示されていない。

二次被害の有無については、東京ガスの発表では確認できなかった。ただし東京ガスは、今後本件に関連して不審なメールが送付される可能性があると注意を呼びかけている。

アララの事案全体では、クレジットカード会社を装った不審メールが最大約713万通送信された。外部に持ち出されたメールアドレス等は81,329,467件とされている。他の多くの企業や団体にも影響が及んでいる。

企業・団体の対応

東京ガスは、対象となるお客さまをはじめ多くの方に多大な迷惑と心配をかけたとして、おわびしている。

不審なメールを受信した場合は、本文のURLへのアクセス、添付ファイルの開封、個人情報の入力を行わないよう求めている。

今後は、対象となるお客さまに準備が整い次第、個別に連絡してお詫びし、問い合わせ窓口を設置する。外部サービスの利用における個人情報の適切な管理とセキュリティ審査の徹底を図り、再発防止に努めるとしている。

東京ガスの警察や個人情報保護委員会への届出状況は、確認できた発表には記載がない。アララについては、警察への通報と、個人情報保護委員会などへの報告を行っている。

編集部コメント（読者企業が取るべき対策）

今回の事案では、自社のシステムに侵入がなくても、委託先の配信基盤から顧客のメールアドレスが流出した。しかも対象は2023年5月時点の登録者で、過去に提供したデータが委託先に残っていた可能性がある。委託先に渡すデータの範囲と保管期間を、自社で把握しておく必要がある。

委託先の利用状況の棚卸し
メール配信やSMS配信など、外部のクラウドサービスに顧客データを預けている業務を洗い出す。サービスごとに、預けているデータの項目、件数、登録時期を一覧にする。

委託先への確認事項
委託先には、自社データが影響を受けたか、対象の範囲と件数を速やかに問い合わせる。あわせて、侵入経路、停止や再開の見通し、連絡窓口を確認する。委託先の発表は更新されることがあるため、継続して確認する。

不要データの削除と保管期間の見直し
配信が終わった宛先リストや、利用の終わったサービスの登録情報は、委託先の環境から削除する。契約書やデータ処理の取り決めに、削除のルールと確認方法を明記する。

フィッシング対策
流出したメールアドレスは、なりすましメールの送信に使われるおそれがある。自社名を装うメールへの注意を、顧客と従業員に周知する。自社ドメインには、SPFとDKIM、DMARCなどの送信ドメイン認証を設定しておく。

顧客への情報提供
影響の有無や対象範囲が判明した時点で、顧客へ個別に連絡する体制を整える。連絡文には、流出した項目と含まれない項目、注意すべきメールの例、問い合わせ先を記載する。個人情報保護委員会などへの報告要否も、早めに検討する。

なお、東京ガスの警察や個人情報保護委員会への届出状況と、アララの原因調査の詳細は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

No related posts.

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。