京阪HDの公式LINEで連携サービスへの不正アクセスにより最大22万4,386人分の情報流出の恐れ｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. 京阪HDの公式LINEで連携サービスへの不正アクセスにより最大22万4,386人分の情報流出の恐れ
             

京阪HDの公式LINEで連携サービスへの不正アクセスにより最大22万4,386人分の情報流出の恐れ



京阪ホールディングスは11月14日、公式LINEアカウントで顧客情報が漏えいした可能性があると発表した。対象は京阪電鉄、京阪百貨店、京阪ホテルズ＆リゾーツなど4社である。委託先が使うLINE連携サービスの被害が、大手私鉄グループに波及した形で、規模は延べ22万人超にのぼる。

概要

京阪HDは、傘下の京阪百貨店や京阪電気鉄道などの情報を配信するLINEアカウントの登録者情報が漏えいしたと発表した。LINEでの情報配信業務を委託する企業が利用するサービスが、第三者による不正アクセスを受けたとされる。なお、京阪HD本体の発表文は確認できておらず、本稿は報道と委託先の公表に基づく。

サービスはソニックムーブが提供しており、クーポン発行など販促情報の告知に使われていた。原因は、ソニックムーブが提供するクラウド型LINE連携サービス「COMSBI」への不正アクセスとされる。

報道によると、時系列は次のとおり。

ソニックムーブは11月12日に被害を公表しており、京阪HDは公式LINEアカウントの運用でこのサービスを利用していた。

京阪HDは11月14日、漏えいの報告を配信業務の委託先から受けた。同日、京阪HDが公表した。

ソニックムーブの公表によると、被害は同社のSaaS版で起きたとされる。11月9日深夜から10日朝にかけて、第三者が同社の運用・サポート業務用の社内アカウントを使ってサービスにアクセスし、複数の企業・団体の情報を取得した。

同社は11月10日朝に異常を検知し、同日午前中に不正なアクセスを遮断した。現在も調査を進めている。

同社は、このサービスが「COMSBI エンタープライズ基盤」とは別のシステム基盤で動いており、同基盤の利用者への影響はないとしている。

被害・影響の範囲

最大で延べ22万4,386人分のLINEの表示名、プロフィール画像、ユーザーIDが流出した恐れがある。このうち、氏名、住所、電話番号、メールアドレス、生年月日などのいずれかが最大で延べ6万4,332件漏えいした可能性もある。

アカウントごとの内訳も報じられている。京阪百貨店の公式LINEでは、表示名やプロフィール画像などが最大5万1,223件流出し、氏名や住所、電話番号などのいずれかも最大2万8,000件漏えいした可能性がある。京阪電鉄の公式LINE「京阪電車ファン情報」では、表示名やプロフィール画像が最大2万6,914件流出した。

京阪流通システムズが運営する枚方モールや、京阪ホテルズ＆リゾーツが運営するホテルの公式LINEでも、同様の漏えいがあった。

対象者数は現時点で確認できたものとされる。二次被害は今のところ確認されていない。クレジットカード情報は保持していない。

件数は報道によって異なる。共同通信は、グループ4社の五つのアカウントで延べ約25万人分のIDなどが流出した可能性があると報じた。その後の配信記事では、六つのアカウント、約28万人分とする記載もある。件数の最終的な確定値は公表されていない。

他の組織にも影響が出ている。近鉄グループHD傘下の近鉄不動産も、運営する商業施設の公式LINEアカウントから表示名などが漏えいした可能性があると13日に公表した。中部日本ビルディングも、同社に管理を委託する企業に含まれるとされる。

企業・団体の対応

京阪HDによると、攻撃元からのアクセスは遮断され、アカウントは継続している。

ソニックムーブは、SaaS版について不正なアクセスを遮断し、調査を進めている。サービスのクラウド環境から設定情報や認証情報も取得されたとされる。

京阪HDによる警察や個人情報保護委員会への届出、対象者への個別連絡、問い合わせ窓口の詳細は、確認できた範囲では公表されていない。

編集部コメント（読者企業が取るべき対策）

今回の事案は、自社のシステムが無傷でも、委託先のサービスが侵害されれば顧客情報が流出することを示している。LINE連携のような販促用ツールも、個人情報の保管先になり得る。委託先の管理は契約時だけでなく、運用中も続ける必要がある。

利用中のLINE連携サービスの棚卸し
公式アカウントに接続している外部ツールと配信委託先を、部門ごとに洗い出す。マーケティング部門が個別に契約した例も含めて確認する。ツールごとに、保管されるデータ項目と件数を一覧にする。

委託先への確認事項
委託先に、自社の情報が影響を受けるかを書面で確認する。あわせて、侵害の範囲、取得された認証情報の有無、再発防止策、報告期限を聞く。再委託先や関連サービスも対象に含める。

認証情報の再発行と権限管理
連携サービスに預けたLINEのアクセストークンなどの認証情報は、再発行の要否を委託先と確認する。管理画面のアカウントには、多要素認証や権限の最小化を求める。委託先の運用担当者のアカウント管理も、確認項目に加える。

保有データの最小化
販促用のツールに、氏名や住所、生年月日まで預ける必要があるかを見直す。不要な項目は取得をやめ、利用を終えたデータの削除を委託先に求める。契約終了後の削除手順も、契約書で定めておく。

顧客への案内とフィッシング対策
対象となり得る顧客には、漏えいした可能性のある項目と、二次被害への注意点を早めに案内する。不審なメッセージやSMSに注意するよう促し、公式の連絡経路も示す。問い合わせ窓口は、公表と同時に整えておく。

なお、最終的な対象者数や原因の詳細、再発防止策は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。