無料会員登録
河淳は11月11日、メール配信の委託先アララ株式会社への不正アクセスにより、会員のメールアドレス121万4,183件が流出したと発表した。当初は流出対象外との連絡を受けていたが、11月7日の報告で一転して流出が判明した。
概要
ケユカを運営する河淳は、メールマガジンの配信にアララのメール配信サービス「アララメッセージ」を利用していた。このサービスが外部から不正アクセスを受け、河淳が預かる会員メールアドレスが外部に流出したと報告を受けた。
アララ側の原因については、同社のシステムの一部の環境で、Webサーバの脆弱性とシステム環境の問題を第三者に悪用されたとされる。河淳自身のシステムが侵入された事実は公表されていない。
河淳の発表によると、時系列は次のとおり。
10月28日、アララから、同社システムが第三者の不正アクセスを受け、預かる個人情報の一部が流出したとの連絡があった。河淳は当日にアララメッセージの利用を停止した。
10月29日、流出した情報に河淳の会員のメールアドレスは含まれていないとの連絡があった。
10月30日以降、安全性確認済みの別システムを使い、メールマガジンの配信を一部再開した。
11月7日、アララから、河淳の顧客のメールアドレスが流出したとの報告を受けた。河淳は11月11日に件数と対応状況を公表した。
アララは、被害範囲を段階的に広げて公表している。11月2日の第2報で、不正アクセスが判明したサーバが拡大し、契約企業の会員情報等が持ち出されたと公表した。11月6日には第3報を発表した。第3報の件数は、8,132万9,467件のメールアドレスの漏えいとされる。
被害・影響の範囲
流出したのは、2026年7月1日から10月28日の間にケユカオンラインショップメールマガジンを受信していた人のメールアドレス、1,214,183件である。メールアドレス以外の情報の流出はないとされる。
河淳のオンラインショップや会員管理のシステムは、この件の影響を受けていないという。
二次被害については、流出したメールアドレスに、河淳をかたる不審なメールが届くおそれがあるとしている。実際の被害の有無は、公表されていない。
影響はほかの組織にも及んでいる。セガは、アララの配信システムを使ったメールマガジンのメールアドレスなどが流出したと公表した。キユーピーも12日、メールアドレス12万5,788件の流出を発表した。
アララのサービスを悪用した不審メールも確認されている。アララの公表として、クレジットカード会社を装った不審なメールが最大約713万通送信されたとされる。
企業・団体の対応
河淳は、お客様の大切なメールアドレスを預かりながら迷惑と心配をかけたとして、おわびを表明した。対象となる顧客には、登録のメールアドレス宛てに個別に知らせるとしている。
メールマガジン等の配信は、10月28日の連絡を受けて以降停止した。その後、安全確認を行った別システムに切り替え、一部を再開している。
顧客への注意喚起も行っている。心当たりのないメールのURLや添付ファイルを開かず、返信や個人情報の入力もしないよう求めている。河淳がメールでパスワードやクレジットカード番号を尋ねることはないという。
届出については、個人情報保護委員会と警察への報告を行うとしている。問い合わせは、専用窓口で受け付けている。
編集部コメント（読者企業が取るべき対策）
今回の事案では、委託先から流出対象外と報告を受けた後、約9日で判断が覆った。委託先の一次報告は、調査の進展で変わりうる。委託先で起きた事案でも、利用企業は自社の顧客への説明責任を負う。
利用状況の棚卸し
メール配信やフォームなど、外部サービスの利用状況を一覧にする。サービスごとに、預けている情報の種類、件数、期間を把握しておく。事案の発生時に、影響を早く見積もれる。
委託先への確認事項
委託先から流出対象外と報告を受けたら、確認の根拠を書面で求める。調査範囲、対象環境、ログの保全状況を確認し、報告が更新される前提で連絡窓口を決めておく。
続報の継続的な確認
初期報告で対象外とされても、安心して調査を終えない。委託先の公式発表を定期的に確認し、第2報以降の内容を自社の利用環境と照合する。
フィッシング対策
流出したメールアドレスは、なりすましメールに使われるおそれがある。顧客向けに、自社が尋ねない情報の例を周知しておく。送信ドメイン認証の設定も見直す。
顧客への情報提供
対象者への通知は、件数、期間、流出した項目、含まれない情報を明記する。公表内容を更新する場合は、訂正点と理由を示す。問い合わせ窓口は、早い段階で用意する。
なお、アララ側の侵入経路の詳細や、流出したデータの悪用状況は現在調査中とされている。今後の続報に注意されたい。
出典
書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！
セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
