📡 Signal｜阪急阪神百貨店で H2O ID 会員約126万件の個人情報漏えい

阪急阪神百貨店と親会社のエイチ・ツー・オー リテイリングは10月19日、百貨店の予約サイトを入り口にした不正アクセスで、グループ共通の会員 ID「H2O ID」の会員約 126 万件の個人情報の一部が漏えいしたと公表した。氏名、住所、電話番号、メールアドレス、生年月日が含まれ、同社は「ほぼ全て」の会員が対象だとしている。

同じ週、国内では大手の消費者向けサービスで不正アクセスの公表が続いた。ゲオとセカンドストリートを運営するセカンドリテイリングは10月17日夜からアプリと通販を止め、ふるさと納税サイト「ふるさとチョイス」を運営するトラストバンクも19日に関連サービスを一時停止した。日々の買い物や寄付の入り口が、数日のうちに相次いで閉じた。

予約サイトから、共通 ID の顧客管理システムへ

エイチ・ツー・オー リテイリングの公表によると、経過は次のとおりだ。

• 10月16日 (金): 「阪急百貨店・阪神百貨店予約サイト」を経由した、顧客管理システムへの不正アクセスを確認。通信を遮断し、予約サイトのシステム全体を停止
• 10月17日 (土): 通販サイト「HANKYU HANSHIN E-STORES」と注文サービス「Remo Order」でも不正アクセスを確認し、両サイトを停止
• 10月19日 (月): 顧客管理システムで管理する H2O ID のうち、約 126 万件の個人情報の一部の漏えいが判明

漏えいした項目は、H2O ID、氏名 (漢字とカナ)、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O ID で使っているサービスの種類だ。ログインパスワードの漏えいは確認されていない。

通販と注文サービスの側は、漏えいの有無をまだ調べている。こちらが持つ情報は、注文履歴、クレジットカードの種別・下 4 桁・名義・有効期限、ポイントカードの種別と番号の下 4 桁、アドレス帳だ。同社はカード番号の全桁とセキュリティコードを持たない設計にしており、カードやポイントが不正に使われるおそれはないと説明している。不正利用や二次被害は、公表の時点で確認されていない。個人情報保護委員会への報告と警察への被害申告は済ませた。

入り口は予約サイトという周辺のサービスだったが、届いた先は、グループのサービスをまたいで会員をまとめる顧客管理システムだった。1 つの ID で多くのサービスを使える便利さは、1 か所が破られた時に影響が会員のほぼ全員に及ぶ裏返しでもある。

ゲオとセカンドストリートは、店を開けたままネットを閉じた

10月にゲオホールディングスから社名を改めたばかりのセカンドリテイリングは、10月15日に社内システムへの第三者の不正アクセスを確認した。17日夜 9 時から、二次被害を防ぐために次のサービスを止めている。

• セカンドストリート: アプリ、オンライン、店舗取り寄せ、宅配買取、出張買取 (ブランド出張買取は電話で受付)、アプリを使った店舗買取
• ゲオ: アプリ、オンラインストア、あれこれレンタル、宅配レンタル、宅配買取、アプリを使った店舗買取
• ゲオモバイル: UQ mobile オンラインストア、モバイル宅配買取
• ゲオ買取ロッカー・コンビニ買取、宅配型トランクルーム 2nd STORAGE

店舗の営業は続け、アプリを使わない店頭の買取も受け付けている。ITmedia NEWS によると、申し込み済みの集荷と、停止前に受けた通販の注文の出荷は続けている。19日の第 2 報によると、データベースのサーバーに不審な外部接続や直接のアクセスの形跡はなく、個人情報と機密情報の外部への漏えいは確認されていない。侵入の経路と手口は示していない。再開の時期は未定だ。

ふるさとチョイスは「関連サービス」を停止

トラストバンクは10月19日、ふるさとチョイスで不正アクセスの疑いがある事象を検知し、被害の拡大を防ぐために関連サービスを一時停止したと公表した。専門のチームが事実関係と影響の範囲を確認している。止めたサービスの具体的な範囲、寄付の受け付けの扱い、個人情報への影響、再開の見込みは、公表文に書かれていない。

ふるさと納税は 1 月から 12 月までの寄付が、その年の控除の対象になる。12 月に駆け込みの寄付が集まる前のこの時期に、どこまで止まり、いつ戻るかは、寄付を予定する人と、受け付ける自治体の双方に関わる。

次に見るもの

確認先は 3 社の公式サイトの続報だ。エイチ・ツー・オー リテイリングは、HANKYU HANSHIN E-STORES と Remo Order の漏えいの有無と、原因の調査結果を自社のホームページで開示するとしている。セカンドリテイリングは第 3 報で侵入の経路とサービスの再開日を示すかどうか。トラストバンクは、停止したサービスの範囲と、寄付の受け付けをいつ戻すかを、ニュースルームで次に伝えるはずだ。H2O ID の会員は、同社を名乗る不審なメールや SMS に注意してほしい。同社の案内は noreply@h2o-retailing.co.jp からだけ届く。

ことば

• 共通 ID — 1 つのアカウントで、グループの百貨店の予約、通販、ポイントなど複数のサービスを使えるようにする会員の仕組み。利用者の手間は減るが、会員情報を 1 か所にまとめるため、守りが破られた時の影響が大きくなる。
• 決済情報の非保持化 — 通販などの事業者が、クレジットカードの番号の全桁やセキュリティコードを自社のシステムに持たず、決済代行会社に預ける対応。漏えいしても、カードを不正に使える情報が手元に無い状態にする。
• 個人情報保護委員会への報告 — 個人の権利を害するおそれが大きい漏えいが起きた時、事業者が国の個人情報保護委員会に届け出る義務。速報と確報の 2 段階で、本人への通知も求められる。

🔗 一次ソース

• エイチ・ツー・オー リテイリング／阪急阪神百貨店: 第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ (10月19日／10月16日の確認・H2O ID 約 126 万件・漏えい項目・カード情報の非保持・問い合わせ窓口を確認)data.swcms.net
• セカンドリテイリング: 社内システムへの不正アクセスの発生について (10月17日／10月15日の確認・10月17日 21 時からの停止範囲を確認)2nd RETAILING
• セカンドリテイリング: 【第 2 報】社内システムへの不正アクセスに関する調査結果のご報告 (10月19日／データベースへの不審な接続の形跡なし・漏えいは未確認・再開は未定)2nd RETAILING
• トラストバンク: 不正アクセスの疑いに伴うサービス一時停止のお知らせ (10月19日／ふるさとチョイスの関連サービスを一時停止)株式会社トラストバンク
• ITmedia NEWS: 「ゲオ」「セカスト」運営元に不正アクセス 公式アプリや通販を停止 (10月19日／申し込み済みの集荷と停止前の通販注文の扱い)ITmedia NEWS