アットホームの賃貸管理システムに不正アクセス、6,901件の個人情報が漏えいのおそれ｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. アットホームの賃貸管理システムに不正アクセス、6,901件の個人情報が漏えいのおそれ
             

アットホームの賃貸管理システムに不正アクセス、6,901件の個人情報が漏えいのおそれ



アットホームは11月13日、不動産会社向け業務管理サービス「賃貸管理システム」の管理サイトが第三者による不正アクセスを受け、加盟不動産会社が登録した入居者やオーナー、取引先などの個人情報6,901件が漏えいした可能性があると発表した。同社は2月にも別のシステムへの不正アクセスを公表しており、今回は不動産会社の顧客情報が対象になった点が注目される。

概要

不動産会社向けの業務管理サービス「賃貸管理システム」の管理サイトに、第三者が不正アクセスした。システムを利用している一部の加盟不動産会社が登録した入居者、オーナー、取引先などの個人情報が、外部へ漏えいした可能性があるとされる。

アットホームの発表によると、時系列は次のとおり。

11月9日、管理サイトへの不正アクセスが発生した。同社は調査チームを設置し、アクセス元の遮断、原因調査、アクセスログの確認、関係者の特定と個別連絡を進めているとされる。

11月12日、個人情報保護委員会に加え、プライバシーマーク認定機関のJIPDEC、審査機関のJUASへ本件を報告した。

11月13日、同社が事案を公表した。

侵入経路や原因の詳細は、確認できた範囲では公表されていない。今回の対象は賃貸管理システムであり、詳細な影響範囲は調査中とされる。

アットホームは今年2月にも、別のシステムで不正アクセスを公表している。このときは1月22日に「引越し見積もり」の管理システムへ不正アクセスがあり、顧客408件などの情報が漏えいした可能性があるとされた。ただし、今回の事案は対象システムも発生日も異なる。

被害・影響の範囲

漏えいの可能性がある情報は、氏名、住所、電話番号、生年月日のほか、建物名、部屋番号、契約状況などの賃貸借に関する情報である。クレジットカード番号など、これら以外の項目が含まれるかどうかは、確認できた範囲では明らかにされていない。

件数の6,901件は「漏えいの可能性がある情報」の件数であり、同数の情報が外部に流出したと確定したものではない。

対象は、アットホームに直接問い合わせた人に限らない。物件の入居者、オーナー、取引先などが対象となり得る。

不正アクセスの発生日は11月9日とされる。漏えいが疑われる情報がインターネット上で公開された事実や、不正利用などの二次被害は、11月13日時点では確認されていない。他の自社提供サービスへの影響も確認されていないという。

一般向けの不動産検索サービスの全利用者が対象という発表ではない。対象となるのは、賃貸管理システムに情報を登録していた不動産会社の関係者である。

企業・団体の対応

アットホームは、不正アクセス元の遮断、原因調査、アクセスログの確認を進めている。あわせて、管理体制とセキュリティーシステムの再点検、監視強化、アクセス制御の見直しを実施するとしている。

影響を受けた可能性のある加盟不動産会社と関係者を特定し、個別に連絡している。調査結果がまとまり次第、公式サイトで新たな案内を出す方針とされる。

11月12日には、個人情報保護委員会、JIPDEC、JUASへ報告した。おわびの文言などの詳細は、公式発表の原文を確認できていないため、ここでは記載しない。

編集部コメント（読者企業が取るべき対策）

今回の事案では、取引先のクラウドサービスの管理サイトが狙われ、顧客の個人情報が漏えいした可能性がある。自社が直接管理していないシステムでも、自社の顧客情報が漏えいする場合がある。委託先や利用サービスの管理体制を、平時から確認しておく必要がある。

利用状況の棚卸し
自社が利用する業務システムと、そこに登録している個人情報の種類・件数を一覧にする。入居者やオーナーなど、顧客や取引先の情報を預けているサービスを優先して確認する。

管理サイトの認証強化
管理画面には多要素認証を導入し、接続元のIPアドレス制限を検討する。使っていない管理者アカウントは削除し、ログイン履歴を定期的に確認する。

委託先への確認事項
サービス提供元に、ログの保管期間や通知までの目安時間、再発防止策の公表方針を事前に確認する。インシデント時の連絡窓口と、自社への通知手順も契約や運用ルールで決めておく。

なりすまし連絡への注意喚起
建物名や部屋番号、契約状況が知られていた場合、管理会社を装った連絡に使われるおそれがある。実際には、不審な振込先変更の照会に注意するなどの対応が必要になる。入居者やオーナーに、不審な連絡への注意を呼びかける準備をしておく。

顧客への情報提供
利用サービスの提供元から通知を受けたら、自社の対象者を特定し、顧客からの問い合わせ窓口を一本化する。説明内容は事実が確認できた範囲に限り、続報があれば更新する。

なお、侵入経路、原因、漏えいの有無と範囲の詳細は、現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。