Signal
📡 Signal｜ヤマダデンキのリフォーム管理システムに不正アクセス、最大 350 万件
ヤマダデンキのリフォーム管理システムが不正アクセスを受け、氏名・住所・電話番号と工事の履歴など最大 350 万件に影響の可能性。同社では 3 週間で 2 件目。
ヤマダデンキは11月13日、リフォーム事業の顧客を管理するシステムが第三者の不正アクセスを受けたと発表した。影響を受けた可能性があるのは、氏名・住所・電話番号と、リフォームの実施履歴や見積もりなどの営業記録で、件数は最大 350 万件にのぼる。
外部への流出が起きたかどうかは、まだ調査中だ。同社の発表は、10月23日の「ヤマダビデオ」「スマホゴールド会員」への不正アクセスに続き、この 3 週間で 2 件目になる。家電量販の同社で、顧客データを扱うシステムへの侵入が続いている。
12日に確認し、その日のうちに遮断
発表の要点は次のとおりだ。
- 11月12日 — リフォーム管理システムへの不正アクセスを確認し、ただちに外部からのアクセスを遮断して詳しい調査を始めた
- 対象 — このシステムに登録のある顧客の氏名・住所・電話番号、その他リフォームの実施履歴と見積もりのデータなどの営業記録。最大 350 万件
- 対象外 — マイナンバーとクレジットカード情報は含まない。店頭やネット通販での家電の購入情報など、リフォーム以外の情報も対象外
- 流出 — 外部への流出は調査中で、状況は改めて知らせる
件数の 350 万は「影響を受けた可能性のある最大値」で、流出が確定した数ではない。侵入の経路や、システムを誰が運用していたかは示されていない。
住所と工事の履歴が一緒に並ぶ
今回の対象で目を引くのは、情報の組み合わせだ。氏名と電話番号だけの流出なら、使い道は迷惑電話や偽の SMS にとどまりやすい。リフォームの記録には、どの家で・いつ・どんな工事をしたか、どの見積もりを取ったかが入る。
住所と工事の履歴がそろうと、「前回の工事の点検に伺う」といった、その家の事情に合わせた口実が作れる。持ち家で、修繕にお金をかける世帯だということも分かる。同社は、同社を装ったメール・SMS・電話に注意するよう呼びかけ、パスワードや暗証番号を尋ねることはないとしている。訪問や電話で工事の話を持ちかけられたときに、相手が本当にヤマダデンキかを確かめる手段が、利用者の側で要る。
10月のヤマダビデオから 3 週間
10月23日の発表では、動画配信の「ヤマダビデオ」とスマートフォン向けの「スマホゴールド会員」の手続き画面に外部からの不正アクセスが確認され、10月22日午後4時13分ごろからサービスを止めたとしていた。個人情報への影響は調査を続けるとし、件数は示していなかった。
2 つの事案のつながりについて、同社は何も述べていない。同じ手口か、同じ攻撃者かも分からない。ただ、会員サービスの手続き画面と、リフォームの営業記録を管理するシステムという別々の入口が、短い間隔で続けて破られた。今週は委託先の LINE 運用サービス「COMSBI」や大阪市の行政オンラインシステムでも、顧客や住民の連絡先が流出している (13日の大阪市の記事)。国内では、顧客データを持つシステムの入口一つひとつが狙われている。
次に見るもの
- ヤマダデンキの「お知らせ」のページ — 外部への流出が確認されたか、件数がどこまで絞り込まれるか。侵入の経路と、システムの運用を委託していたかどうかが示されるか
- ヤマダホールディングスの適時開示 — 業績への影響を見込んで開示が出るか。10月のヤマダビデオの件の調査結果が合わせて示されるかも見る
ことば
- 営業記録 — 企業が顧客との商談の経過を残したデータ。リフォームでは訪問日、工事の内容、見積もりの金額などが入り、氏名や住所と結びついて管理される。
- 不正アクセスの「影響を受けた可能性」 — 侵入されたシステムに入っていた情報の範囲を指す。実際に外へ持ち出されたかは別に調べられ、企業は調査の進み具合に応じて件数を改めて公表する。
🔗 一次ソース
