📡 Signal｜ふるさとチョイスで会員 445 万件流出、寄附控除の試算額も

ふるさと納税サイト「ふるさとチョイス」を運営するトラストバンクは10月20日、第三者の不正アクセスで会員 4,454,097 件の個人情報が外部に流出したと公表した。流出した項目は氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除の試算額だ。

トラストバンク: 不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ (10月20日／流出 4,454,097 件・項目・経過・再開未定を確認)株式会社トラストバンク

19日の時点で同社が出していたのは「不正アクセスの疑い」と関連サービスの一時停止の知らせだけで、止めた範囲も個人情報への影響も書かれていなかった。1日で、疑いは流出の確定と件数に変わった。件数は、前日に公表された阪急阪神百貨店の共通会員 ID「H2O ID」(約 126 万件) の 3 倍を超える。

2 日後に気づき、その日の午後に止めた

トラストバンクの公表による経過は次のとおりだ。

• 10月17日 (土): 不正アクセスが発生
• 10月19日 (月): 通常と違うアクセスの傾向をつかんで確認し、17日の不正アクセスと会員情報の流出が判明。15時50分に「ふるさとチョイス」関連サービスを停止
• 10月20日 (火): 個人情報保護委員会への報告を完了
• 10月21日 (水): 所轄の警察署に被害を申告する予定

侵入から気づくまでに 2 日かかった。入り口については「今回の不正アクセスによって検知した脆弱性」と書くだけで、どのシステムのどの弱点だったかは示していない。件数と項目は「現時点で確認できている」ものとし、今後の調査で変わりうるとしている。サービスの再開時期は未定だ。

寄附控除の試算額が流出した意味

今回の項目で、ほかの漏えいと性格が違うのが寄附控除の試算額だ。ふるさと納税で税の控除を受けられる寄附の上限は、年収や家族構成から決まる。サイトで試算した控除の額は、その人の所得の水準をおおまかに映す数字になる。

氏名、住所、電話番号と、懐具合の手がかりが同じ行に並んでいる。詐欺を仕掛ける側から見ると、誰に、どの程度の金額の話を持ちかけるかを選べる名簿になりうる。トラストバンクも、同社や関係先を装った不審なメール、SMS、電話、郵便物に注意するよう呼びかけた。電話と郵便物まで挙げたのは、住所と電話番号が流出したからだ。

パスワードはハッシュ化されていたが、同社は同じメールアドレスとパスワードの組み合わせをほかのサービスで使っている会員に、そちらのパスワードを変えるよう求めている。ハッシュ化は元の文字列を直接は読めなくする処理だが、単純なパスワードは総当たりで割り出されることがある。

年末の寄附シーズンの前に

ふるさと納税は 1 月から 12 月までの寄附が、その年の控除の対象になる。寄附が年末に集中する仕組みのなかで、10月下旬にふるさとチョイスが止まった。再開が遅れれば、寄附を予定していた人はほかのサイトに移り、受け付けを頼っていた自治体は年末の受け皿を考え直すことになる。

10月だけでも、9日には国家サイバー統括室が大量の個人情報を持つ事業者に対策の徹底を求める注意喚起を出し、その後もアンケートサイト infoQ (流出 89 万 4,082 件で確定)、阪急阪神百貨店と公表が続いた。統括室が求めた対策の 1 つは「保有情報の最小化」だった。寄附の手続きに使う住所や電話番号は欠かせないが、控除の試算額まで会員情報として持ち続ける必要があったのかは、原因の調査とは別に問われる点になる。

次に見るもの

確認先はトラストバンクのニュースルームだ。同社は、流出した項目と件数、再発防止策を確定次第知らせるとしている。見るべき点は 3 つある。入り口になった脆弱性が何だったか、件数が 445 万件から動くか、そしてサービスの再開日だ。21日の警察への被害申告の後、捜査の進み方によっては原因の説明が先に出る可能性もある。会員は、ふるさとチョイスと同じパスワードを使っているほかのサービスがあれば、今のうちに変えておきたい。

ことば

• 寄附控除の試算額 — ふるさと納税で、自己負担 2,000 円を除いた額が税から差し引かれる寄附の上限の目安。年収や家族構成から計算するため、所得の水準を推し量る手がかりにもなる。
• ハッシュ化 — パスワードを、元に戻しにくい別の文字列に変換して保存する処理。漏えいしても直接は読めないが、短く単純なパスワードは総当たりで割り出されるおそれがある。
• 保有情報の最小化 — 事業者が、目的を終えた情報や業務に要らない情報を持たないようにする考え方。10月9日の国家サイバー統括室の注意喚起は、被害の広がりを抑える対策として挙げた。

🔗 一次ソース

• トラストバンク: 不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ (10月20日／流出 4,454,097 件・項目・経過・再開未定を確認)株式会社トラストバンク
• トラストバンク: 不正アクセスの疑いに伴うサービス一時停止のお知らせ (10月19日／流出の確定前の第一報)株式会社トラストバンク
• エイチ・ツー・オー リテイリング／阪急阪神百貨店: 不正アクセス発生と個人情報漏えいに関するお詫び (10月19日／H2O ID 約 126 万件)data.swcms.net
• GMOリサーチ&AI: infoQ への不正アクセスによる個人情報漏えい (第 2 報・10月14日／持ち出し 89 万 4,082 件で確定)GMOリサーチ＆AI
• 国家サイバー統括室: 不正アクセスによる漏えい等の事案を踏まえた対応について (10月9日・PDF／保有情報の最小化)cyber.go.jp