「含まれていない」は4日で覆った 11月3日〜6日の漏えい29件の図解

10月29日、ワークマンはアララから「会員のメールアドレスは含まれていない」と連絡を受けました。4日後の11月2日、同じアララから流出ありの緊急の報告が電話で届きます。ワークマンが11月4日に公表したのは、最大約145万件のメールアドレスでした。

11月3日から6日の4日間に、こうした漏えい・不正アクセスの発表は29件ありました。新しい事故が17件で、そのうち10件はアララのメール配信を使っていた会社と自治体です。残る12件は続報で、その半分の6件は第一報より件数や項目、原因が重くなりました。¹

アララの委託元は、直接でも間接でも1週間前後で知った

アララの件を、委託元がいつ知ったかで並べると、日付はそろっていません。

アソビューと大阪市は11月2日に報告を受け、モスフードサービスは11月4日でした。アララと直接に契約していない会社もあります。楽天証券は、経済指標のアラートメールを任せていたミンカブの、さらに委託先がアララで、知ったのは11月4日の夕方です。NTTタウンページも同じで、委託先がアララのrepicaを使っていたのです。

一方、発生の日付は、ワークマンの発表では10月28日に連絡を受けたとあり、楽天証券の発表では10月27日です。直接の契約か間接かにかかわらず、委託元が自社の分と知るまで1週間前後かかったと読めます。

ただ、もっと気をつけたいのは、ワークマンのように一度「含まれていない」と聞いていた例です。第一報の答えで社内の影響を見積もると、あとで外れます。アソビューは報告を受けた11月2日のうちに、配信をすべて止め、管理画面のパスワードやAPIキーなどの認証情報を無効にしました。連絡を待たずに打てる手として、参考になります。

アララの件の全体はアララメッセージの記事、11月5日までの委託元の発表は委託先の事故の図解で確認できます。TKCは11月4日の第3報で、最大223万812件はメールアドレスだけだったと確認しました。

続報で重くなった6件

続報12件を第一報と並べると、6件で件数、出た項目、原因のどれかが新しく出ました。

いちばん重く変わったのはNTTドコモです。11月5日の第二報は、項目を氏名、住所、生年月日、携帯電話番号などとし、原因は調査中でした。翌6日の第三報では、件数は最大約30万件のまま、全員分の項目に本人確認書類の番号と契約内容が加わりました。しかも一部の人は、口座番号や勤務先の名称と所在地まで入りました。

良品計画は、11月4日の第二報で、MUJI Cardの番号（全桁）などの約109万件を加えました。これとは別に、クレジットカードの一部の情報（第二報の③）も不正アクセスを受けていたといいます。第二報では「ネットストアは正常に利用できる」と書いていましたが、11月6日には第三報として無印良品ネットストアを一時停止しました。

アイリスプラザは、10月29日の第1報では件数を出していませんでした。11月5日の第2報で初めて、外部のクラウドに置いていた約770万人分が、閲覧か取得された可能性があると示しました。

ロート製薬は、9月11日と15日に調査の状況を出したあと、11月6日に2,797,545人という件数を初めて示しました。NTTスマイルエナジーの2報は、性質の違う被害です。ポイントの交換用のデータが読み取られ、10月30日から31日に約14,000件、800万ポイント分が不正に交換されたといいます。2報が「個人情報の流出は確認されていない」とするのはこのポイントのデータについてで、第1報が書いたログインの情報の漏えいの可能性を打ち消したものではありません。

ただ、ApplyNowは件数が増えたわけではありません。10月9日の更新で約39万人と出ており、11月4日の最終報で新しく認めたのは原因の4点です。最終報の項目の表では、ApplyNow Signで雇用契約を結んだ30,067人のうち一部の人に、個人番号、口座、基礎年金番号、在留カード番号が並びます。29件のなかで、いちばん重い項目でしょう。

退会した人や、契約を終えた相手のデータも件数に入っていた

続報と新しい発表を読み合わせると、もういない相手のデータが件数に入っていた例が5件ありました。

つまり、どれも侵入を防げたかどうかとは別に、持っていなければ件数に入らなかったデータです。良品計画の約109万件は、もう使っていない特典のために受け取った番号でした。ロート製薬は、電話でカード番号を聞くのをやめ、書面での手続きに変えました。

ただし良品計画の場合、消していれば外れたのは約109万件の分だけです。第二報の③のカードの一部の情報は、これとは別の対象です。

また、期間は外れますが、11月2日のサントリーグループの発表にも、2023年末の時点で体験プログラムに登録していた7,323名のメールアドレスが入っていました。

情シスが管理者として登録しているかもしれない1件

日本ネットワークセキュリティ協会（JNSA）の発表は、情シスにとって他人事ではありません。社員の研修に使われる「情報セキュリティ理解度チェックサービス」が不正アクセスを受け、最大15,128件の情報が漏えいした恐れがあるといいます。

対象になりうるのは、管理者として登録した人の氏名、企業名、メールアドレス、組織の所在地や従業員数、利用者のIDとパスワード（ハッシュ化済み）です。研修のために情シスや総務が申し込んでいれば、名前と会社名を使った不審なメールに備えたいところです。対象者には、特定でき次第、JNSAから個別に連絡が届く予定です。

11月3日〜6日の29件

委託先の台帳と保管期限の点検表

1. アララメッセージかrepicaを使っていれば、管理画面のパスワードとAPIキーを無効にして設定し直します。アソビューは、報告を受けた日のうちにそうしました。直接の契約がなくても、委託先がその先で使っていないかを聞きます。
2. JNSAの理解度チェックを申し込んだことがあるか、研修の担当に聞きます。パスワード（ハッシュ化済み）も対象なので、管理者が同じパスワードをほかのサービスで使っていれば変えます。
3. 取引先の事故の記録に、「第一報の件数」と「続報を見直す日」の欄を並べて作ります。ワークマンやドコモのように、後から変わることがあります。
4. メールの配信サービスに渡しているリストに、解約した人や退会した人が残っていないかを確かめます。
5. 社内に事故を報告するときは、ニュースに出た日ではなく、発表元の日付を添えます。

4日間の発表で目立ったのは、侵入の手口よりも、遅れて届く知らせと、もういない相手のデータでした。どちらも、委託先の台帳とリストの中身で備えられる部分です。