Signal
📡 Signal｜モス WEB 会員のアドレス751万件、アララ経由で流出
モスフードサービスが、モス WEB 会員のメールアドレスなど751万7,087件の流出を発表。アララへの不正アクセスで、約7,700万件の1割近くを占める。
モスバーガーを展開するモスフードサービスは11月4日、「モス WEB 会員」のメールアドレスなど751万7,087件が外部へ流出したと発表した。会員向けのメール配信に使っていた、アララが提供するシステム「repica (レピカ)」が不正アクセスを受けた。
アララが11月2日の第2報で示した流出のおそれのあるメールアドレスは約7,700万件で、モス1社でその1割近くを占める計算になる。モスは10月にもプリペイドカードの情報流出を公表したばかりで、外食大手の顧客まわりの情報が、2週間足らずで2度外へ出た。
流出したのはアドレスと年齢・性別・都道府県
発表によると、モスは本部と各店舗のメールマガジンなどの配信に repica を使っていた。11月4日、アララから、すでに発表済みの同社の流出の中にモス WEB 会員のメールアドレスが含まれているとの報告を受けた。
- 流出した情報: モス WEB 会員のメールアドレス、年齢、性別、住んでいる都道府県など
- 件数: 7,517,087件
- クレジットカードなど決済に関わる情報は含まれていない
モスは、流出したアドレスに同社や関連企業を装った不審なメールが届くおそれがあるとして、心当たりのないメールのリンクや添付ファイルを開かないよう呼びかけた。メールでカード情報やパスワードの入力を求めることはないとしている。
約7,700万件のうちの751万件
アララへの侵入は、10月28日から31日にかけてサーバー97台に及び、最大約380社分の会員情報が持ち出された (アララの侵害の規模)。5日には三井住友銀行と暗号資産交換業の Zaif が自社分を公表している (三井住友銀行と Zaif)。
モスの751万件は、銀行の22万件や交換所の38万件より一桁多い。アララの約7,700万件は1人が複数のアドレスを持つ可能性を含む延べの数字で、モスの件数を割ると約9.8%になる。最大約380社の中で外食チェーン1社がこれだけの割合を占めたことは、会員向けの配信で顧客と直接つながる業態の名簿の厚さを映している。
年齢・性別・都道府県がアドレスに結びついた名簿は、氏名や住所がなくても使い道がある。住んでいる県や年代に合わせたクーポンや当選通知を装えば、本物との見分けはつきにくい。
10月のモスカードに続く2度目
モスの顧客まわりの情報が外へ出たのは、これが最初ではない。NHK の報道によると、モスは10月23日、不正アクセスによってプリペイドカード「モスカード」の情報が外部へ流出したと発表していた。流通済みのカードで約57万件にのぼる。
2つの件は、侵入されたシステムも、流れ出た情報の種類も違う。今回の件で見えたのは、メールの配信という機能を専門の事業者に任せた結果、会社の会員名簿が社外の基盤に置かれ、その基盤が数百社分の名簿を一度に抱えていたことだ。顧客との接点を外部のサービスに任せるほど、名簿は社外の複数の場所に分かれて置かれる。モスは今回の発表で、委託先のセキュリティ管理体制の確認と強化を引き続き求めるとした。
次に見るもの
確認先は、アララの親会社ペイクラウドホールディングス (証券コード 4015) が東証の適時開示に出す第3報だ。件数と対象企業の精査の結果と、業績への影響が示される。モスについては、同社サイトに出る続報で、流出の対象となった会員の特定と個別の連絡が進むかを見る。
ことば
- repica (レピカ) — モスが会員向けのメール配信に使っていた、アララの提供するシステム。会員のアドレスや属性を預けて配信するため、名簿の保管場所にもなる。
- 委託先 — 会社が業務の一部を任せる外部の事業者。顧客情報を預けることが多く、委託元の会社は監督の責任を負う。
- フィッシングメール — 実在の会社を装い、偽のサイトに誘ってパスワードやカード情報を入力させるメール。流出したアドレスは、その送り先の名簿として使われる。
🔗 一次ソース
