Signal
📡 Signal｜ビューティガレージ、美容 EC の会員情報 77万5,725件が漏えい
ビューティガレージが EC サイトへの不正侵入で 77万5,725件のお客様情報の漏えいを公表。サロン名・氏名・連絡先・パスワードのハッシュ値など。2月から続くカード決済停止の対策の途中だった。
美容サロン向けの業務用品通販を手がけるビューティガレージ (東証プライム・3180) は10月15日、EC サイトのサーバーに第三者が不正に侵入し、77万5,725件のお客様情報が漏えいしたと発表した。サロン名、氏名、メールアドレス、電話番号に加え、パスワードのハッシュ値も含まれる。
同社は2月に公表した別件のカード情報漏えいの懸念を受けて、EC のカード決済を止めたままでいる。その対策を進める中で新たな漏えいを招いたと、同社自身が認めた。
10日から12日の侵入、13日に検知
東京証券取引所の適時開示によると、侵入は10月10日 (土) から12日 (月) にかけて起き、13日 (火) に検知した。同社は侵入の経路を特定し、同じ日のうちに遮断を終えた。顧客向けの告知では、対象を「10月10日23時55分時点で『ビューティガレージ』『アイラッシュガレージ』の EC システムに保存されていたお客様情報」としている。
漏えいが確認された項目は次のとおりだ。適時開示はサロン名、氏名、メールアドレス、電話番号などと要約しており、顧客向けの告知のほうが詳しい。
- 会社名、サロン名、お客様名、営業形態、サロンの URL
- 電話番号、メールアドレス
- パスワードのハッシュ値
- パスワード再設定用の質問と回答のハッシュ値
住所や配送先、購入履歴、カード情報を含む決済情報の漏えいは確認されていない。情報が公開された事実や、不正に使われた事実も確認されていないという。不正アクセスが可能になった経緯は調査を続けており、手口は明らかにしていない。
対象の顧客にはメールで個別に連絡し、個人情報保護委員会など関係機関への報告と相談を進めている。EC サイトなどのサービスは通常どおり使えるとしている。業績への影響は精査中だ。
漏れたのは「店」の名刺に当たる情報
ビューティガレージの顧客は、美容サロンなどの事業者だ。今回の項目に会社名、営業形態、サロンの URL が並ぶのはそのためで、漏れたのは個人の住所録というより、店の名刺に近い情報の束だ。
この種の情報は、取引先を装った連絡に使いやすい。同社も告知で、同社や取引先を名乗るメール、SMS、電話には、相手が名前やサロン名を知っていても応じないよう求めた。同社が本件を理由にパスワードや認証コードを尋ねることはないとし、振込先の変更や追加の支払いを求められたら、普段使っている公式の窓口で確かめるよう呼びかけている。同じか似たパスワードをほかのサービスで使っている場合は、変更するよう促した。
2月から続くカード決済の停止
同社は2月6日、EC サイトでのカード情報漏えいの懸念を公表していた。8月19日の第6報によると、カード決済の一時停止は長期にわたっており、8月12日から新たな外部の専門機関が再調査している。再開には調査結果を踏まえたシステム改修と再発防止の措置が要るとして、時期は示していない。
今回の告知で同社は、カード情報漏えいの懸念の調査と、カード決済の再開に向けた対策を進める中で「新たな情報漏洩を招いたことを重く受け止め」ると書いた。一つの事案の調査が終わらないうちに、別の経路から侵入を許した形だ。
10月は国内で大規模な漏えいの公表が続いている。14日にはブックオフが退会会員を含む 638 万人の漏えいを確定させた (14日の記事)。ただし、ビューティガレージは手口を公表しておらず、JPCERT/CC が注意喚起している一連の不正アクセスとの関係も示されていない。同じ時期に起きたことと、同じ攻撃であることは分けて読む必要がある。
次に見るもの
確認先は、TDnet に出る同社の続報と、EC サイトの「お知らせ」のページだ。業績への影響は精査中で、開示すべき事項が出れば速やかに知らせるとしている。不正アクセスが可能になった経緯が示されるか、そして2月から止まっているカード決済の再開の時期がいつ示されるかが、次の確認点になる。
ことば
- 適時開示 — 上場企業が、株価に影響しうる事実を東京証券取引所の TDnet で投資家に一斉に知らせる仕組み。事故の第一報も、業績への影響も、ここに出る。
- パスワードのハッシュ値 — パスワードを元に戻しにくい形へ変換した値。そのものではないが、短く単純なパスワードは総当たりで割り出されうるため、使い回しをしていれば変えておくのが安全だ。
🔗 一次ソース
