読売巨人軍は11月13日、公式ファンクラブ「CLUB GIANTS」の会員情報を管理するシステムが外部からサイバー攻撃を受け、会員のメールアドレスが流出したと発表した。流出は80万7,030件にのぼり、メールアドレス以外の情報への影響は調査中とされる。

概要

球団は、会員情報の管理システムが外部からサイバー攻撃を受け、会員のメールアドレス80万7,030件が流出したと発表した。球団は、この件数がアドレスの数であり、固有の会員数と同じとは限らない。

読売巨人軍の発表によると、時系列は次のとおり。

11月12日午前3時ごろから不正アクセスが繰り返され、同日午前9時ごろまでに情報が流出したとしている。

12日午前9時半過ぎ、システムのサーバー容量が逼迫してアクセスできなくなった。球団が調査したところ、外部からの不正アクセスと情報の漏えいが確認された。

球団はサイバー攻撃を遮断する措置を直ちに講じた。

13日、球団は公式ホームページに「サイバー攻撃によるメールアドレス流出に関するお詫びとお知らせ」を掲載した。個人情報保護委員会には13日午後に報告したという。

侵入経路や攻撃手法、攻撃者については、確認できた範囲では公表されていない。委託先など関係組織の発表も確認できなかった。

被害・影響の範囲

流出が確認されたのは、CLUB GIANTSに登録されたメールアドレスである。件数は80万7,030件で、80万7,030人の固有の会員数と同義とは限らない。

クレジットカード情報は当該システムで保持しておらず、流出の対象にはならない。氏名や住所など、メールアドレス以外の会員情報への影響は調査中である。

二次被害について、球団は、これまでのところ不正利用などの報告はないとしている。

共同通信は同日、阪神も別の不正アクセスを発表したと報じた。阪神がNTTドコモと共催する野球教室イベントの応募フォームとして利用していた電子チケットサービス「teket」が不正アクセスを受けたという。流出した可能性がある情報は氏名やメールアドレスなどで、対象は最大155件とされる。巨人の事案との関連は、確認できた範囲では示されていない。

企業・団体の対応

球団は「会員の皆様をはじめ、関係者の皆様に多大なるご迷惑とご心配をおかけしますことを深くお詫び申し上げます」とコメントした。

技術面では、攻撃を遮断する措置を直ちに講じたとしている。球団は、メールアドレス以外の情報が流出していないか、引き続き調査を行う。

利用者への注意喚起として、球団や関係先を装った不審なメールなどが送付される可能性があると呼びかけた。届出については、個人情報保護委員会に13日午後に報告したとされる。

再発防止について、球団は、再発防止のためのセキュリティー対策を講じ、安心して利用できるサイト運営に取り組むとしている。具体的な対策の内容は、確認できた範囲では公表されていない。

編集部コメント（読者企業が取るべき対策）

今回の事案では、メールアドレスだけの流出でも件数が大きく、フィッシングへの悪用が懸念される。サーバー容量の逼迫という異常が、攻撃に気づくきっかけになったとされる。会員基盤を持つ企業は、流出を前提にした備えと、異常を早く検知する仕組みの両方を点検したい。

異常の検知体制の確認
サーバーの負荷やディスク容量の急な変化は、不正アクセスの兆候になりうる。CPU、通信量、ログ出力量などに閾値を設け、深夜や早朝でも担当者に通知が届く体制を整える。

保管データの棚卸し
会員システムが保持する情報の項目と件数を、あらためて洗い出す。不要になった情報は削除し、カード情報を保持しない設計も含めて、被害範囲を狭める方針を確認する。

フィッシング対策の準備
流出後は、自社を装ったメールが届く可能性がある。送信ドメイン認証のSPF、DKIM、DMARCを設定し、メール内のリンクや連絡手段の扱いを会員に周知しておく。

顧客への迅速な情報提供
事実が確認できた時点で、件数、項目、含まれない情報、注意点を公式サイトに掲載する。更新があれば同じページに追記し、会員が確認できる窓口を明示する。

インシデント対応手順の整備
不正アクセスの遮断、ログの保全、関係機関への報告を、誰がどの順で行うかを決めておく。個人情報保護委員会への報告の期限と記載事項も、事前に確認する。

なお、メールアドレス以外の情報への影響や侵入経路は現在調査中とされている。今後の続報に注意されたい。

出典

• セサイバー攻撃によるメールアドレス流出に関するお詫びとお知らせ｜公式サイト
• 読売新聞オンライン（Yahoo!ニュース）
• サンケイスポーツ（Yahoo!ニュース）
• 共同通信（Yahoo!ニュース）
• 中日スポーツ

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから