Signal
📡 Signal｜グッドスマイルカンパニー公式ショップに不正アクセス、会員情報が閲覧
グッドスマイルカンパニーの公式ショップが不正アクセスを受け、会員の氏名・住所・注文の記録・カード下4桁などが閲覧された。件数と原因の詳細は未公表。
フィギュアメーカーのグッドスマイルカンパニーは10月23日、自社の通販サイト「グッドスマイルカンパニー公式ショップ」が第三者の不正アクセスを受け、会員の個人情報などが閲覧されたと発表した。システムのログを調べたところ、10月19日15時過ぎから22日22時ごろまでの約3日間、サイトの管理情報が複数回にわたって閲覧されていた。
閲覧された可能性があるのは、氏名・住所・電話番号・メールアドレスに加え、何をいくらで買ったかという注文の記録と、クレジットカードの番号の下4桁・有効期限だ。同社はサイトを閉じて原因を調べており、再開の見込みはまだ示していない。
閲覧された情報と、含まれていない情報
同社のお知らせが挙げた項目は次のとおりだ。
- 基本情報: 氏名、読み仮名、性別、住所、電話番号、メールアドレス
- 注文情報: 注文日、商品名、数量、金額、別に登録したお届け先の住所・氏名・電話番号、決済方法、決済が済んでいるかどうか
- クレジットカード情報: カードのブランド、番号の下4桁、有効期限
カードの名義、番号の下4桁を除く桁、セキュリティコードは含まれないとしている。カードの番号そのものを使った不正利用に直結する情報は、今のところ範囲の外にある。
対象になりうる会員の数は公表されていない。同社は、確認が済み次第、対象の可能性がある会員に個別のメールで知らせるとしている。
原因は「脆弱性」、中身はまだ出ていない
原因について同社は、調査中としたうえで、現時点では脆弱性を突かれた不正アクセスと認識していると書いた。原因と見られる脆弱性は改修し、システムのセキュリティを強めたうえで調査を続けている。どのソフトウェアや機能の脆弱性だったのかは明かしていない。
23日には個人情報保護委員会に報告した。個人情報保護法の決まりでは、不正アクセスのように不正な目的による漏えいのおそれがあるとき、事業者は委員会へまず速報を出し、事態を知った日から60日以内に確報を出す。件数や原因の詳しい内容は、この確報の段階で固まることが多い。
購入記録が、なりすましの材料になる
この件で読者が具体的に気をつける点は、カード番号よりも注文の記録にある。いつ、どの商品を、いくらで買い、どの決済方法を選び、支払いが済んでいるか。これがそろうと、「ご注文の商品の発送について」「お支払いの確認が取れていません」といった連絡を、実在の注文に合わせて作れる。カード番号の下4桁と有効期限が添えられていれば、なおさら本物に見える。
予約販売が多いフィギュアの通販では、発売の延期や入金の確認の連絡は日常的に届く。それだけに偽の連絡と見分けにくい。同社も、会社や公的機関、金融機関を名乗る不審なメール・電話・SMS に応じず、リンクを開かないよう呼びかけている。問い合わせは、ショップとは別のシステムで動いているサポートのフォームで受け付けている。
同じ月に続く公表のなかで
国内では10月に入り、会員制のサービスや通販への不正アクセスの公表が続いている。23日には佐川急便が最大約5,323万件の流出のおそれを公表し (10月23日の記事)、22日にはカプコンが CAPCOM ID のメールアドレス1,177万件の漏えいを公表した (10月22日の記事)。JPCERT/CC は連続する不正アクセスで攻撃者が AI を使っていることを確認したとしている (10月16日の記事)。
グッドスマイルカンパニーの件は規模の数字がまだ無い。それでも、氏名と住所と購入の記録が1か所にまとまった会員基盤が、繰り返し狙われている流れの中にある。
次に見るもの
確認先は、同社のサポートページにある「不正アクセスによるお客様情報流出の可能性について」の続報だ。見るのは3点で、対象の会員数、突かれた脆弱性の中身、公式ショップを再開する時期になる。会員は、同社からの個別メールが届いたかどうかと、身に覚えのない注文や入金の連絡が来ていないかを、この数週間は確かめておきたい。
ことば
- 個人情報保護委員会への報告 — 漏えいやそのおそれがあるとき、事業者が国の委員会に出す報告。速報と確報の2段階で、不正アクセスのような不正な目的による事案は、確報の期限が事態を知った日から60日以内になる。
- 管理情報 — サイトの運営側が会員や注文を管理するための情報。今回は会員の画面ではなく、この運営側の情報が複数回閲覧されたと同社は説明している。
🔗 一次ソース
