Yenyが決済4サービスの不正アクセスで電話番号と会員ID約133万件の漏えいを発表｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. Yenyが決済4サービスの不正アクセスで電話番号と会員ID約133万件の漏えいを発表
             

Yenyが決済4サービスの不正アクセスで電話番号と会員ID約133万件の漏えいを発表



TISインテックグループの株式会社Yenyは11月12日、管理する会員情報の一部に第三者による不正アクセスがあり、電話番号と会員ID（同社固有）が漏えいしたと発表した。対象は退会者を含む1,332,505件で、決済情報の漏えいは確認されていないとしている。

概要

Yenyが提供する4サービスの会員情報で、電話番号と会員IDが外部に漏れた。同社は、接続先の特定の事業者から不審なAPIコールの連絡を受けて調査し、API接続設定の不備が原因で会員情報の一部が漏えいしたと確認した。不審なAPIコールを連絡した事業者の名称は公表されていない。

Yenyの発表によると、時系列は次のとおり。

10月31日、接続先の特定の事業者から、不審なAPIコールが発生したとの連絡を受けた。

11月2日、特定の事業者から電話番号が漏えいした可能性があるとの連絡を受けた。社内調査でAPI接続の設定不備が原因と確認し、緊急サービスメンテナンスでシステム対応を実施した。

11月3日から4日にかけて、原因と影響の詳細を調査した。11月5日、会員情報の漏えいを確認した。

11月6日、関東財務局と個人情報保護委員会に報告した。11月12日、本件を公表した。

被害・影響の範囲

対象は、ultra pay カード、アスルクラロ沼津Pay by PayBlend、巫神こんPay by PayBlend、東芝ブレイブルーパス東京Pay by PayBlendの4サービスである。漏えいが確認された情報は、電話番号とYeny固有の会員IDの2項目である。

クレジットカード番号などの決済情報の漏えいは、現時点で確認されていない。Yenyは、漏えいした情報だけではアプリへの不正ログインや決済には使えないとしている。

件数は1,332,505件で、退会者を含む。NHKは最大およそ133万件と報じている。この件数は4サービス全体の数値で、サービス別の内訳や重複を除いた実人数は示されていない。

二次被害については、具体的な発生は公式発表に書かれていない。他の組織への影響の広がりも、公表されていない。

企業・団体の対応

Yenyは冒頭で、お客様と関係者に迷惑と心配をかけたとして、深くお詫びした。対応としては、緊急メンテナンスによるシステム対応と、関東財務局および個人情報保護委員会への報告を実施した。

対象となる利用者には、アプリ内のお知らせ欄で案内するとしている。問い合わせは、同社のお問い合わせフォームで受け付けている。

報道によると、同社はAPI設定の是正と、監視・検知体制の見直しを進めている。偽のSMSや電話への注意も呼びかけられている。警察への届出については、確認できた発表には記載がない。

編集部コメント（読者企業が取るべき対策）

今回の事案は、外部サービスとのAPI連携の設定不備が、会員情報の漏えいにつながった事例である。侵入手口の高度さよりも、設定管理の甘さが問われる。連携先からの通報で発覚した点も、自社の監視が十分かを見直す材料になる。

API設定の棚卸し
自社が公開または接続しているAPIを一覧にし、認証や認可、アクセス範囲の設定を点検する。返却する項目が必要最小限かも確認する。

連携先との連絡体制
連携先から不審な呼び出しの連絡を受けた際の窓口と、判断までの手順を決めておく。今回は10月31日の連絡から原因の確認まで約2日だった。夜間や休日の連絡にも対応できるか、事前に確認しておきたい。

APIの監視とログの保存
APIの呼び出し回数や、通常と異なるアクセスパターンを検知できる仕組みを整える。事後に漏えい範囲を特定できるよう、ログの保存期間も確認しておく。

電話番号を悪用したフィッシングへの備え
電話番号が漏れると、SMSを使った偽サイトへの誘導が懸念される。顧客向けに、SMSや電話でパスワードやカード情報を求めないことを明示しておく。公式アプリや公式サイトから確認するよう案内する文面も用意しておきたい。

委託先や開発元を含めた設定レビュー
決済サービスなどの開発や運用を外部に委ねている場合、設定変更の審査手順を契約や運用ルールで確認する。公開前の設定レビューを定期的に行う体制も求めたい。

なお、不正アクセスの具体的な手口や再発防止策の詳細は、現時点で公表されていない。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

No related posts.

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。