📡 Signal｜バンダイナムコ、ユミルリンク経由で 34 万件余り漏えい

家庭用ゲームなどを展開するバンダイナムコエンターテインメントは、メール配信を委託しているユミルリンクが不正アクセスを受けた影響で、顧客のメールアドレスなど34万6,000件余りが漏えいしたと明らかにした。NHK と日本経済新聞が10月28日に報じた。

10月19日にユミルリンクが被害を公表してから、契約企業の側の公表が続いている。21日の honto に続き、今回はゲームとホビーの大手グループに及んだ。顧客が名前を知らない配信の委託先から、同じ攻撃の影響が会社をまたいで広がっている。

漏えいした情報

NHK によると、対象はバンダイナムコエンターテインメントのポイントサービスに会員登録していた顧客のメールアドレスなど。日経によると、同社とグループの BANDAI SPIRITS が27日夜に公表し、件数は 34万6,247 件、内容は次のとおりだ。

ガンプラの販売店「THE GUNDAM BASE」の会員サービス「THE GUNDAM BASE MEMBERS」のメールアドレス
会員の仕組み「バンダイナムコID」を管理するための社内の識別番号

日経によると、ログインのパスワードとクレジットカードの情報は含まれていない。両社は該当するメール配信を止め、不審なメールの URL を開かず、情報を入力しないよう呼びかけている。

配信の委託先で何が起きたか

ユミルリンクは東証グロース上場のメール配信事業者で、企業や自治体にメール配信サービスを提供している。同社が10月19日に出した第一報によると、16日未明に不正アクセスに気づいた。攻撃者はプログラムの脆弱性を突いてサポート担当者の認証情報を取得し、不正なプログラムを置いてデータベースからデータを書き出していた。被害を受けたのは同社が管理する5つのシステムで、メールアドレスを含む延べ約900万件が持ち出されたと試算している。

延べ件数は重複を含みうる数で、どの契約企業の名簿が含まれていたかは、契約企業がそれぞれ公表している。honto を運営する大日本印刷は21日に氏名とメールアドレスの漏えいの可能性を公表した (honto の件)。

名簿の預け先は、顧客から見えない

メール配信は、会員サービスを持つ企業のほとんどが外に任せている仕事だ。会員はバンダイナムコに登録したつもりでも、メールを送るために名簿の写しが配信事業者のサーバに置かれている。配信事業者が破られると、多くの企業の名簿が一度に外へ出る。

漏えいしたのがメールアドレスとガンプラの会員サービスの組だと、その組自体が偽メールの材料になる。「THE GUNDAM BASE からのお知らせ」を名乗るメールは、本当に会員である人にだけ届く。限定品の抽選や再販の案内を装えば、開かれやすい。今後しばらく、同社の名前で届くメールは送信元とリンク先を確かめてから開くのが安全だ。

次に見るもの

確認先は、ユミルリンクが東証の適時開示 (TDnet) に出す第二報だ。持ち出されたデータの項目、影響を受けた契約企業の数、重複を除いた実際の人数がどこまで明らかになるかを見る。BANDAI SPIRITS と THE GUNDAM BASE の会員向けのお知らせページでは、対象者への個別連絡の有無が分かる。

ことば

メール配信の委託 — 企業がメールマガジンや通知を大量に送るため、外部の配信サービスに名簿を預けて送ってもらうこと。預け先が破られると、自社のシステムが無事でも顧客の情報は漏れる。
延べ件数 — 同じ人が複数のシステムやデータに含まれていても、その都度 1 件と数えた数。実際の人数はこれより少なくなりうる。

🔗 一次ソース