ホリエのサイバーポリス無料で診断する

サイバー事件簿 | 特集

3日間で41件、漏えいの公表が止まらない

個人情報保護委員会は10月28日、不正アクセスによる漏えい等の報告が、4月から10月16日までに2,094件、延べ約2億6,000万人分にのぼると公表しました。10月は16日までの半月だけで830件です。その後も公表は続き、10月27日からの3日間だけで、日本経済新聞の企業一覧には41件の発表が並びました。何が起きているのかを、数字と事例から見ていきます。

約5分で読めます 出典は記事末に記載

01

10月は、半月で830件

2094件

4月1日〜10月16日に報告された、不正アクセスによる漏えい等の件数(個人情報保護委員会に直接報告されたもの)。

2.6億人

同じ期間に漏えい等した延べの本人数(約2億6,000万人)。重複や「おそれ」を含みます。

9月の303件に対し、10月は16日までで830件。1日あたりでは、9月の約10件から約52件に増えたと報じられています。延べ約2億6,000万人は日本の人口の2倍を超えますが、同じ人が何度も数えられていることや、「漏れたおそれ」も含むことに注意が要ります。

10月27〜30日の、おもな漏えい

件数の大きいものを中心に並べました。いずれも公表の時点の数字で、漏えいの「おそれ」を含みます。

花キューピット最大423万件

ECサイトの会員情報。10月28日公表。

アララ(メール配信)約301万件

利用企業が預けたメールアドレス。Webサーバーの脆弱性を悪用されたとしています。10月29日公表。

So-net258万件

会員の情報。口座の情報16件を含むとしています。10月27日公表。

ソニー生命約38.5万件

契約や住所を含む顧客情報。不正アクセスによるもの。10月28日公表。

バンダイナムコグループ約34万件

顧客のメールアドレス。委託先への不正アクセス。10月28日公表。

ライフカード約34万契約

メール配信サービス「Cuenote FC」への不正アクセスによるもの。10月30日公表。

第一生命最大12.4万件

不正な接続についての調査結果。10月27日公表。

JAL・JTA約9.2万人

予約の委託先アマデウスへの不正アクセス。一部はパスポート番号も。10月28日公表。

出典:日本経済新聞の企業一覧・サイバーセキュリティ.com

02

漏れるだけでなく、止まる

同じ3日間には、不正アクセスをきっかけにサービスを止めた会社も相次ぎました。注文やアプリが使えない時間は、そのまま売上の損失です。

  • 松屋フーズ不正アクセスを検知し、Webサイトとモバイルオーダーを停止
  • ツイキャス不正アクセスでサービスを停止
  • アイリスオーヤマ不正アクセスを確認し、公式通販サイトを一時停止
  • Payどん(鹿児島の決済アプリ)不正アクセスで新規の登録を停止
  • コミックシーモア不正アクセスで約2週間止まったのち、一部を再開
  • 「銀のさら」の運営会社不正アクセスで受注が止まり、業績予想を取り下げ

03

41件から見えること

日本経済新聞の一覧に並んだ41件のうち、見出しの段階で「委託先」や外部のサービスを通じた被害と分かるものが、少なくとも9件ありました。メール配信、時計の修理、イベントの運営。これにJAL・JTAの予約の委託先の件も加わります。自社のシステムが無事でも、預けた先から漏れています。

原因を公表していない会社も多く、どの手口が使われたのかは、まだ分かっていません。分かっているのは、規模や業種を問わず、どこが次になってもおかしくないということです。

この秋に見直しておきたい4つ

  • 1顧客の情報を預けている先を一覧にするメール配信、予約、EC、決済、委託先。どこに何があるかが分からないと、事故のときに連絡もできません。
  • 2持っていなくてよい情報を消す退会した会員、終わった予約、古い名簿。持っていない情報は漏れません。
  • 3自社サイトの入口を、外から確かめる古いソフト、公開されたままのファイル、管理画面。攻撃者が最初に見る場所です。
  • 4止まったときの連絡手段を決めておくサイトやアプリが使えないとき、お客様にどこで何を知らせるかを決めておきます。

ニュースの向こう側にならないために、自社の入口から

ドメインを入力するだけで、外から見えている弱点を無料で診断します。

出典

※ 本記事は公表された情報と公的統計に基づく一般向けの解説です。攻撃の再現手順は扱いません。各社の最新の発表もあわせてご確認ください。

© ホリエのサイバーポリスBACK TO TOP