Signal
📡 Signal｜アイリスオーヤマの通販、約770万人分が漏えいの可能性
アイリスオーヤマの公式通販アイリスプラザで、約770万人分の個人情報が漏えいした可能性。外部クラウドの台帳への不正アクセスで、氏名・住所もそろう。
アイリスオーヤマのグループ会社アイリスプラザ (仙台市) は11月5日、公式通販サイト「アイリスプラザ」への不正アクセスで、約770万人分の個人情報が外部に漏えいした可能性があると発表した。会員の約580万人分には氏名・住所・電話番号・メールアドレスに加え、暗号化されたパスワードや生年月日が含まれる。
10月28日にサイトを止めてから8日後に、規模が分かった。同じ時期にメール配信会社アララへの侵入で数百社の名簿が流出しているが、こちらは別の経路だ。会社が自社で使っていた外部のクラウドに、顧客台帳そのものが置かれていた。
会員580万人・非会員190万人
発表によると、アイリスプラザは10月28日、利用している外部のクラウドサービスで不審なファイルを見つけ、サイトと関連システムを止めて調べ始めた。第三者による不正アクセスを確認し、29日に第1報を出した。その後の調査で、クラウドに保管していたデータが外へ漏れた可能性が確かめられた。
保管されていた個人情報は約770万人分で、閲覧されたか取得された可能性がある。
- 会員データ (退会者を含む・約580万人): 氏名、住所、電話番号、メールアドレス、性別、パスワード、生年月日など。退会者はパスワードを含まない
- 非会員データ (会員登録せずに買った人・キャンペーンの応募者・約190万人): 氏名、住所、電話番号、メールアドレス
- パスワードを含む一部の項目は暗号化している。すべての人の全項目が出たわけではなく、登録状況で項目が違う
実際に漏れた件数と影響を受けた人数は、なお調べている。不正利用や金銭の被害の報告は、現時点で確認されていない。
カード情報は対象外、外部モールの店舗も影響なし
クレジットカードの情報は、このクラウドには保存されていなかった。アイリスプラザが外部の EC モールに出している店舗でも、不正アクセスや漏えいは確認されていないという。
停止はグループの他のサービスにも広がっている。ホームファッションの「SIMPLE STYLE」は10月28日からサイトを止め、アイリステックサービスが運営する家電のサブスクリプションや家具・家電の配送設置のサービスも、同じ日から新規の申し込みを受け付けていない。どちらも不正アクセスや漏えいは確認されていないとしている。アイリスプラザの再開の時期は決まっていない。会社は10月29日に警察と個人情報保護委員会へ報告した。
名前と住所がそろった名簿
今週は、委託先を通じた流出が続いた。アララのメール配信サービスへの侵入では、最大約380社分・約7,700万件のメールアドレスが持ち出された (アララの侵害の規模)。モスフードサービスは4日、その中に「モス WEB 会員」の751万7,087件が含まれていたと公表している。モスで流出したのは、メールアドレスと年齢・性別・都道府県などだった。
アイリスプラザの台帳は、規模がほぼ同じでも中身が違う。氏名・住所・電話番号・メールアドレスがそろい、会員なら生年月日もつく。宛名と住所を入れた本物らしい通知を、メール・SMS・電話・郵便のどれでも作れる名簿だ。会社も、自社や関係機関を名乗る不審な連絡や偽のサイト・SNS アカウントに注意するよう呼びかけ、他のサービスで同じパスワードを使っている人には変更を求めた。
国内の EC は、顧客の住所と購入履歴を持つことで配送と再購入を回している。その台帳を外部のクラウドに置くのは今では普通の設計で、守る対象は自社のサーバーの外に広がっている。
次に見るもの
確認先は、アイリスオーヤマのニュースリリース欄とアイリスプラザのサイトに出る次の報告だ。実際に漏れた件数の確定と、対象者への個別のメール連絡がいつ始まるか、そしてサイトの再開の時期を見る。外部のクラウドのどこに不備があったのかという原因の説明が出るかどうかが、同じ形の台帳を持つ他の EC にとっての手がかりになる。
ことば
- 外部クラウドサービス — 自社でサーバーを持たず、外部の事業者が提供する保管・計算の基盤を借りて使う仕組み。設定や権限の管理を誤ると、外から台帳に届いてしまう。
- 個人情報保護委員会 — 個人情報の取り扱いを監督する国の機関。漏えいのおそれがある事業者は報告を求められ、アイリスプラザは発覚の翌日の10月29日に報告した。
- パスワードの使い回し — 同じパスワードを複数のサービスで使うこと。1か所から漏れると、他のサービスへの不正ログインにも使われるため、会社は変更を求めている。
🔗 一次ソース
