5,162 万件、配信の委託先から漏えいか — 預けた顧客情報を棚卸し

何が起きたの? — 配信会社から延べ 5,162 万件

ユミルリンクは、企業や自治体のメール配信を手がける会社です。10 月 16 日の未明に、一部のシステムへの不正アクセスに気づきました。

第一報によると、攻撃者はプログラムの弱点を突いて、同社のサポート担当者の認証情報を手に入れていました。そのうえで不正なプログラムを置き、データベースからデータを持ち出していました。

件数は、調べが進むにつれて増えています。

漏れた情報には、少なくとも登録されたメールアドレスが含まれます。氏名や住所などが含まれるかどうかは確認中です。「延べ」なので、同じ人が何度も数えられている可能性があり、人数とは一致しません。

利用していた側の発表も続いています。JR 東海、JR 西日本、JR 九州の JR 3 社は 26 日、新幹線の予約サービス「スマートEX」と「エクスプレス予約」の登録情報が漏えいしたと発表しました。メールアドレスや片仮名の氏名が含まれ、件数は確認中です。

「委託先リスク」って何? — 預けた先の、さらに先

委託先リスクとは、仕事を任せた社外の会社で起きた事故が、自社の事故になることです。メール配信のほか、会員の管理や予約の受付、問い合わせの窓口なども同じです。

見落としやすいのは、任せた先が、さらに別の会社のサービスを使っている場合です。埼玉県の例がそうでした。

埼玉県は、このサイトを通じて集めた 669 者の情報が流出した可能性があると発表しました。県が直接契約していたのは運営会社で、配信会社とは契約していません。それでも、お詫びのメールを送ったのは県でした。

会社の守り方はどう変わるの?

これまでの守りは、自社のパソコンやサーバーを固めることが中心でした。顧客の情報が社外のサービスに散らばった今は、それだけでは足りません。

日経クロステックによると、9 月末以降、国内で大規模な情報漏えいが相次いでいます。漏えいが 10 万件を超えた事件も 10 件以上に達しました。自社だけを固めても、預け先が狙われれば同じことが起きます。

SYNCON の視点 — 預けた情報の棚卸しと契約

最初にやることは、棚卸しです。メール配信、会員の管理、予約、アンケートなど、顧客の情報を社外のどのサービスに預けているかを一覧にします。担当の部署ごとに契約していると、全体を誰も知らないことがあります。

次に、預ける量を見直します。配信に要るのがメールアドレスだけなら、住所や電話番号まで預ける必要はありません。退会した人や、何年も配信していない人の情報は消してもらいます。預けていない情報は、漏れようがありません。

最後に、契約で決めておくことです。事故のときに何日以内に知らせてもらうか。任せた先が、さらに別の会社を使うときに知らせてもらうか。契約が終わったとき、データを確実に消してもらうか。値段と機能だけで委託先を選ぶと、事故の日に打つ手がなくなります。

要点まとめ

• ユミルリンクが 10 月 26 日、延べ 5,162 万件余りの個人情報が漏えいした可能性を発表。第一報の延べ約 900 万件から増えた
• 少なくともメールアドレスが含まれ、氏名や住所は確認中。件数はさらに増える可能性
• JR 3 社の新幹線の予約サービスや埼玉県など、利用していた側が相次いで発表
• 埼玉県の例では、任せた先が使う配信会社から 669 者の情報が流出した可能性
• 顧客の情報の預け先を一覧にし、預ける量を減らし、連絡の期限と削除を契約で決める