Signal
📡 Signal｜JR東海の通販 2 サイト、注文メールの氏名・住所も漏えいの恐れ
JR東海の通販 2 サイトで約 1 万 5,000 件に漏えいの恐れ。IDCF のクラウドへの不正アクセスが原因で、注文確認メールの本文に書かれた氏名・住所も対象に入った。
JR東海は10月13日、自社が運営する通販サイト「JR東海MARKET」と「いいもの探訪」で、約 1 万 5,000 件の顧客のメールアドレスなどが漏えいした可能性があるとして、個人情報保護委員会に報告したと発表した。原因は、メール配信を担う外部事業者が使っていた IDC フロンティア (IDCF) のクラウドへの 10 月 7 日の不正アクセスだ。実際に外部へ漏れた事実は、現時点で確認されていないとしている。
同じ IDCF の件では、JR東日本とビューカード、JR九州がすでに漏えいの可能性を公表している。JR東海の件は件数こそ小さいが、漏えいの可能性がある範囲は広い。メールアドレスだけでなく、送ったメールの本文に書かれた氏名・住所・電話番号・注文内容まで対象に入った。1 社のクラウドへの攻撃の影響が、契約先ごとに「何を預けていたか」で違う姿を見せている。
この記事は、JR東日本とビューカードの件 と JR九州の件 に続く、IDCF の不正アクセスの影響の 3 社目の整理になる。
漏えいの可能性がある情報
JR東海の発表によると、漏えいの可能性があるのは次の 2 種類だ。
- 配信先のメールアドレス
- 配信したメールの本文に書かれた情報 (氏名、住所、電話番号、注文内容、配送先の氏名・住所など、注文の時に入力したアンケートの回答とコメント)
クレジットカードの情報とログインのパスワードは、漏えいの可能性がないとしている。件数の約 1 万 5,000 件は両サイトの合計で、IDCF が不正アクセスを確認した 10 月 7 日の時点で保存されていたデータの件数から出した。人数ではなく件数で、サイトごとの内訳は示されていない。
JR東海は、不正アクセスを受けたクラウドの使用をすぐに止め、別の環境からのメール配信に切り替えた。対象の顧客には、メールなどで個別に連絡するとしている。
「本文」まで保存されていたことの重さ
JR東日本と JR九州の件で漏えいの可能性があるとされたのは、主にメールアドレスや会員番号だった。JR九州は、メールマガジンの件名と本文は漏えいの可能性がないとしている。
JR東海の件では、注文の確認や発送の知らせのメールの本文が、配信の記録として外部事業者のクラウドに残っていた。注文確認のメールには、誰が・どこに住み・何を買ったかがそのまま書かれる。メールアドレスの一覧だけよりも、なりすましの連絡を本物らしく見せる材料が揃いやすい。
IDCF は 10 月 7 日、クラウドの一部がランサムウェア攻撃を受け、契約する 495 の企業と自治体が影響を受けたと公表している。同じクラウドの上で、メールアドレスだけを預けていた会社と、本文の記録まで残していた会社がある。委託先にどこまでの情報を、どれだけの期間残させるかという設計の違いが、漏えいの範囲の違いになって表に出ている。
次に見るもの
確認できる次の一点は、IDCF の公式サイトに載る調査の続報と、JR東海MARKET・いいもの探訪のお知らせのページだ。IDCF の調査で、データが実際に外へ持ち出されたかどうかが示されるかを見る。JR東海は、IDCF の調査結果を踏まえて調査を続け、新たな事実が分かればサイトで知らせるとしている。
両サイトで買い物をしたことがある人は、JR東海を名乗るおわびや注文の確認のメール、SMS、電話に注意したい。JR東海は、不審なメールの URL や添付ファイルを開かず、個人情報やパスワード、カードの情報を入力しないこと、心当たりのない注文・配送・請求がないか確かめることを呼びかけている。注文内容や住所が書かれた連絡でも、それだけで本物と判断しない。
ことば
- IDC フロンティア (IDCF) — ソフトバンク傘下のクラウド・データセンター事業者。10 月 7 日に自社のクラウドの一部がランサムウェア攻撃を受けたと公表し、多くの企業・自治体のサービスに影響が出た。
- メール配信サービス — 会員への通知や注文の確認のメールを、企業に代わって大量に送る外部のサービス。送ったメールの記録が、配信事業者の側に保存されることがある。
- 個人情報保護委員会 — 個人情報の取り扱いを監督する国の機関。漏えいの恐れがある場合、事業者は報告を求められる。JR東海は 10 月 13 日に報告した。
🔗 一次ソース