Signal
📡 Signal｜honto のメルマガ利用者情報、配信委託先ユミルリンク経由で漏えいの恐れ
honto のメールマガジン利用者の氏名とメールアドレスが、配信委託先ユミルリンクへの不正アクセスで漏えいした恐れ。同社は 5 システムから延べ約 900 万件の持ち出しを試算する。
大日本印刷 (DNP) は 10 月 21 日、自社が運営する書店サービス「honto」のメールマガジン利用者の氏名とメールアドレスが漏えいした可能性があると公表した。原因は honto のシステムではなく、メール配信を委託していたユミルリンクの配信システムへの不正アクセスで、ユミルリンク側の試算では、被害を受けた 5 つのシステムから延べ約 900 万件のデータが持ち出された。
DNP グループのシステムへの不正アクセスは確認されていない。それでも顧客の情報は外に出た。預けた先の配信基盤が破られれば、自社の守りの厚さとは関係なく漏れる。10 月だけで、この型の公表が 2 系統目になる。
honto で漏えいの可能性がある情報
DNP の公表によると、対象は honto のメールマガジンの配信を許諾している利用者で、項目は次の 3 つだ。
- 氏名
- メールアドレス
- システム内部の識別番号
パスワード、クレジットカード情報、購入履歴は、メール配信システムには置いていなかった。対象の件数は調査中で、判明しだい知らせるとしている。現時点で不正利用などの二次被害は確認されていない。DNP は被害の拡大を防ぐため、honto のシステムとメール配信システムの連携を切っている。
利用者に直接響くのは、本物らしい偽メールのほうだ。氏名とメールアドレスの組がそろえば、「honto からのお知らせ」を名乗るメールは宛名入りで届く。DNP も、honto や関係者を装った不審なメールのリンクや添付を開かないよう呼びかけている。
配信基盤の側で何が起きたか
ユミルリンク (東証グロース・4372) が 10 月 19 日に出した第一報によると、経緯は次のとおりだ。
- 10 月 16 日 (金) 未明、担当者が一部のシステムで不正アクセスに気づいた
- 攻撃者はプログラムの脆弱性を突き、同社のサポート・品質管理担当者がサービスに入るための認証情報を取得していた
- そのうえで不正なプログラムを置き、データベースからデータを書き出していた
- 取得した担当者の認証情報で、ほかのシステムへの侵入も試みていた
不正アクセスとデータの書き出しが確認されたのは計 5 システムで、メールアドレスを含む情報は延べ約 900 万件と試算している。同社はサーバをネットワークから切り離し、脆弱性を修正し、担当者の認証情報をほかのシステムから消したうえで、捜査機関に届け出た。
侵入の足がかりは、運営会社の担当者がサービスに入るための鍵だった。配信サービスの契約企業がいくら自社のパスワードを固めても、運営側の保守用の入口が抜かれれば、データは運営側のサーバから出ていく。DNP の公表文も、今後の対応として委託先の安全対策と管理体制の確認を挙げている。
同じ月に二つ目の委託先経路
10 月 7 日には、データセンター事業者の IDC フロンティアのクラウドへの不正アクセスで、メール配信を外部に任せていた JR 各社が相次いで漏えいの可能性を公表した (JR東海の件の整理)。今回のユミルリンクは、それとは別の会社・別の経路だ。
二つに共通するのは、企業が顧客に送るメールのために預けたデータが、預け先で漏れたことだ。メール配信は、会員サービスを持つほぼすべての企業が外に出している業務で、宛先の名簿をまとめて持つ配信事業者は、攻撃者から見れば多くの企業の名簿を一度に取れる場所になる。ユミルリンクの被害は 5 つのシステムにまたがっており、honto 以外の契約企業からも、同じ委託先を原因とする公表が続く可能性がある。
次に見るもの
最初の確認先は、ユミルリンクが TDnet (東証の適時開示) に出す第二報だ。持ち出されたデータの項目、影響を受けた契約企業の数、実際の人数がどこまで明らかになるかを見る。同社は 2026 年 12 月期の業績への影響も精査中としている。
honto の利用者にとっての確認先は、honto のお知らせページだ。対象と分かった利用者には個別に連絡するとしているので、その連絡の前後に届く「honto」名義のメールは、送信元とリンク先を確かめてから開くのが安全だ。
ことば
- メール配信サービス — 企業がメールマガジンや通知メールを大量に送るために使う外部の仕組み。送り先の名簿を事業者側のサーバに預けるため、事業者が破られると多くの契約企業の名簿が同時に危険にさらされる。
- 適時開示 (TDnet) — 上場企業が投資判断に影響する出来事を、東京証券取引所のシステムを通じて速やかに公表する仕組み。ユミルリンクの第一報もここで出ており、続報も同じ場所に出る。
🔗 一次ソース