11月6〜9日の漏えい・不正アクセス36件 勤怠記録が漏れメールも消えた

11月6日から9日朝までに出た漏えい・不正アクセスの発表36件のうち、会社が契約者や登録者として確認に動く側の事故は10件です。勤怠管理のTeamSpiritでは、契約企業の担当者情報に加えて、勤怠記録の一部まで外に出ています。レンタルサーバーの使えるねっとでは、11月2日時点のバックアップから戻した共有サーバーの一部で、そのあとから7日早朝までのメールとWebのデータが失われました。

残る26件の多くは消費者向けのサービスです。ただ、36件のうち23件は、アララのメール配信や、SMBCコンシューマーファイナンスの保証システムなど、6つの仕組みのどれかでつながっていました。11月3日から6日の29件は前の回の図解で確認できます。¹

会社が契約者として動く10件

会社が当事者になる条件と、漏れたもの、止まったものは次のとおりです。

表の中で、社員の業務記録まで出た発表はTeamSpiritだけです。

チームスピリットによると、10月27日に第三者が同社のソフトウェア開発用サーバーに不正ログインし、そこに保管されていた認証情報で、同社が使うクラウド環境からデータを取り出しました。流出した個人情報は重複を除いて28,824件。要配慮個人情報も35件ありました。

気になるのは勤怠記録の出どころでしょう。同社によれば、TeamSpiritで運用中の勤怠や工数のデータへの不正アクセスは、現時点で確認されていません。流出した勤怠記録は、同社がサービスを提供し維持するために、本番環境とは別に保管していた一部でした。

本番が無事でも、本番とは別に事業者が保管していたデータは、別の場所で漏れることがあります。今回の勤怠記録も、本番の写しとみられます。SaaSの契約を見直すときは、本番の外に自社データの写しをどこに、いつまで置くのかを、事業者に聞いておく価値があります。

原因は未知の脆弱性ではなく、開発用サーバーの設定と情報管理の不備が重なったことだと、同社は説明しました。アララの第3報も、別のクラウド環境からの持ち出しを、認証情報の不正な使用によるものとしました。どちらも、認証情報でクラウドの側に入られた事故です。

使えるねっとは11月6日にサーバーの異常を確認し、翌7日に速報を出しました。契約管理の「使えるポータル」から顧客情報が漏えいし、暗号化して保存していたパスワードも解読された可能性があるとして、ログインのパスワードをリセットしました。VPSの127件は調査の対象の数で、侵入された数ではありません。

ただ、業務への影響は、むしろ共有サーバーの側が大きいはずです。共有サーバーの一部にも不正アクセスがあり、11月2日時点のバックアップから戻したため、バックアップのあとから7日早朝までに更新したWebのデータと、送受信したメールが失われました。どのサーバーが戻されたかは、発表からは分かりません。自社が対象なら、漏えいの有無とは別に、この間のメールを取り戻す仕事が残ります。

teketは11月8日、電子チケットのサービスを止めたまま第一報を出しました。会員全員の氏名とメールアドレスに加え、登録や購入をした会員は、住所や電話番号、発券用のコード、主催者が発行したシリアルコードも対象です。件数は精査中。主催者は管理画面に入れず、QRチケットを読み取る入場受付も使えません。入場の確認に使う購入者のリストは、teketから主催者へ個別に届く予定です。

三井住友海上とあいおいニッセイ同和損保は、同じ「ご契約者さま専用ページ」への不正アクセスで、11月6日にそろって漏えいを公表しました。件数はあいおいニッセイ同和損保が約44.4万件、三井住友海上が約3.7万件です。2社のページに生命保険の契約を表示していた人の分として、三井住友海上あいおい生命も約5,300件を発表しました。

法人向けの手続きも止まったままです。三井住友海上が11月7日9時時点で出した案内では、法人お客さまWebサービスやe-G1のほか、中堅・中小企業向けの情報サイト「MSコンパス」も停止の一覧に入っていました。

インテージの件は、個人情報が漏れていなくても気になる例です。第三者が見たのは、一部のアンケート調査票のプレビュー画面でした。どの調査票かは、同社が精査中です。発売前の商品の調査が含まれていれば、それだけで発注した会社の社外秘にあたるはずです。

契約者として今週確認する段取り

1. 契約の台帳で、TeamSpirit、使えるねっと、teket、アララメッセージと、三井住友海上・あいおいニッセイ同和損保のWebサービスを探します。部署が直接契約していることもあるので、経理の支払いの記録とも照らします。
2. TeamSpiritを使っている会社は、管理者に個別の連絡が届いたかを聞きます。勤怠記録の一部が対象になりうるので、人事にも同じ連絡を回しておきます。
3. 使えるねっとの共有サーバーでメールを受けているなら、まず自社のサーバーが復元の対象になったかを、使えるねっとのサポートに確認します。対象なら、11月2日のバックアップのあとから7日早朝までに届くはずだった請求書や注文を、取引先に送り直してもらいます。送ったメールも手元の控えと照らし、同じ期間にWebサイトを更新した部署は更新をやり直します。
4. 使えるポータルは「パスワードを忘れた」から再設定し、二要素認証も設定し直します。同じパスワードをメールなどで使っていた人は、そちらも変えます。
5. teketでチケットを売っている部署があれば、停止中の公演の入場方法と、購入者リストの受け取り方を、来場者への案内に入れます。
6. 三井住友海上の法人お客さまWebサービスで車両を管理している会社は、増車や減車の通知を書面で代理店へ送る形に切り替えます。車両管理の機能には代わりがないので、停止中の異動は手元の台帳に控えておきます。

23件は6つの仕組みでつながっていた

アララのメール配信には12件がつながりました。新しい発表は6件。しかも、そのうち5件では発表元とアララの間に別の会社が入っていました。ライフコーポレーションから見たアララは、メールマガジンを任せた富士通の再委託先でした。埼玉県営公園の件はさらに遠く、県から指定管理者、電子チケットのアソビューを経て、ようやくアララにたどり着きます。関西で公表した先は西のITメディアの記事で確認できます。

SMBCコンシューマーファイナンスの保証システムからは、地方銀行とりそなグループに知らせが広がりました。山陰合同銀行の1,585名は、2001年から2006年に申し込みを受け、2012年に取り扱いを終えたローンの客です。一方、りそな銀行など3行の分は、すでに解約されたローンでした。漏れた項目はSMBCコンシューマーファイナンスの記事にあります。

プレステージ・コアソリューションの件では、チューリッヒ保険が1月31日に委託を終えていたのに、それまでの委託分が漏えいに含まれていました。

今回、取引を終えた分まで入っていたのは、りそななど3行とチューリッヒ保険の2件です。前の回にも、こうした例が5件ありました。2件はどちらも、なぜ残っていたかを説明していません。保管の義務があった可能性もあります。それでも、委託や提携を終える日の手続きに、預けたデータをどう扱うかの確認を一行入れておく意味はありそうです。

知らされてからは早く、届くまでが長い

自社のシステムの事故で、異常を知った日を書いた8件は、公表まで1〜10日かかっていました。中央値は3.5日です。損保2社は不正アクセスを最初に知らせた11月4日までで数えました。もっとも、いちばん長いTeamSpiritも、個人情報保護委員会への報告は10月30日に済ませました。10月の集計では、気づいた日から第1報までの中央値が3日でした。

ドトールコーヒーでは、不審な動きを見つけたのが決済代行会社でした。10月28日にその連絡を受け、委託先の調べで、10月24日から25日に管理画面から会員情報が出力されていたと分かりました。

一方、委託先から知らされた9件は0〜7日で公表し、中央値は2日でした。10月の集計では、委託先の報告を受けた日からの中央値は4日で、気づいた日の3日より長めでした。今回の2日は、それより短い数字です。

では、長くかかったのはどこでしょうか。京都市の「いきいきシニアポイント事業」では、佐川急便が不正アクセスを確認した9月30日から、京都市がJTBの報告を受けた11月5日まで、36日かかりました。京都市から見て、佐川急便は再委託先です。

ただ、事故そのものは早くから公表されていました。佐川急便は9月30日に不正アクセスを公表し、10月1日には送り状の氏名や住所が流出した可能性を、10月23日には6月21日から9月30日の送り状が対象だと知らせていました。それでもJTBが気づいたのは、11月中旬のプレゼントの発送を準備していたときでした。36日の多くは公表済みの事故と自分たちの仕事が結び付かなかった時間です。

パ・リーグ5球団も、前の回のワークマンと似た経緯をたどりました。10月28日のアララの一報は、球団の客について情報漏えいは確認されていない、という中身でした。流出の報告は、その5日後の11月2日に届きました。

つまり、委託元が知らされてから縮められる日数は、1〜2日ほどしかありません。縮める余地は知らせを待つ側にあります。再委託先の事故も報告の対象に入るかを契約で決めておくのに加え、宅配やメール配信のように多くの会社が使う事業者が事故を公表した日に、委託先へ「うちの仕事で使っているか」を聞きにいけば、待つ日数を削れます。

11月6日〜9日朝の36件

新しい事故22件のうち9件は、まだ件数を示していません。そのうち6件は委託先の調べを待つ側でした。

続報14件の向きは、そろわなかった

続報14件を前の報と比べると、10件で件数や項目が増えました。損保3社は不正アクセスを知らせてから2日後に、漏えいの確認まで進みました。範囲が狭まるか漏えいがないと分かったのは2件で、インテージは向きの混ざった1件、小田急トラベルは期間の訂正です。

増えた側でいちばん大きいのは、アララの第3報です。別のクラウド環境から3,249,492件が持ち出されていたと分かり、重複を除いた件数は81,329,467件になりました。第2報の区分を足した80,386,187件より、943,280件多い数です。成城石井はアララから11月7日に受け取った確定報告で、件数を173,590件へと4,960件増やしました。

プレステージ・インターナショナルの第2報は、受付記録の一部にカード番号が記録されていた、という中身でした。11月2日の公表時点では、カード情報の漏えいは確認されていなかったものです。前の回のロート製薬も、通話音声にカード番号が入っていました。受付記録に残った番号は、決済の仕組みの外にあります。

逆向きの2件もあります。横浜市は11月3日に「利用者メールアドレス、利用者名など」としていた項目を、事業者の報告を受けてメールアドレスだけに改めました。テレビ東京ダイレクトなどの第2報も、個人情報とカード情報の漏えいや不正ログインは確認されなかったという内容です。

インテージはモニターと回答者の個人情報は漏えいしていないと確かめましたが、調査票のプレビュー画面が見られたと新たに認めました。発注した会社にとっては、確認が増えた続報です。

小田急トラベルの訂正は、アララの持ち出しが10月28日から31日にわたっていたと分かったためで、対象の配信期間を10月10日から30日に改めました。63,006件という件数は変わっていません。

前の回では、続報12件の半分が第一報より重くなっていました。今回も重くなる側が多いものの、2件は軽くなりました。第一報をもとに社内へ注意を出した会社は、軽くなった続報も同じ宛先に送っておくと、要らなくなった確認を止められます。

次の続報が重くなるか軽くなるかは、まだ分かりません。社内に出す注意の文面に、どの発表の何報をもとにしたかを一行添えておけば、どちらに転んでも直す場所がすぐに見つかります。