情報漏えい15件を図解 10月22日〜26日 電話番号と住所も対象に

11件。10月22日から26日に公表された国内の情報漏えい・不正アクセス15件のうち、電話番号が対象に入った公表の数です。項目が分かる14件で数えると、住所も8件ありました。

社内に「怪しいメールに気をつけて」と流すだけでは、足りない顔ぶれです。一方で、パスワードなどのログイン情報まで含む件は4件にとどまりました。対象は前回のまとめ（10月20日〜22日）のあとに出た公表で、続報も含みます。

15件で何が起きたか

続報で、件数が大きく動いた件があります。ユミルリンクは第一報の延べ約900万件から、26日の第二報で49システム、延べ約5,163万件に広げました。Joshinは第2報で初めて、会員情報の最大約600万件という数を出しています。

ただ、件数の数え方は会社ごとに違います。佐川急便とユミルリンクは重複を含む延べの数で、Joshinや楽天トラベルは「最大」、お名前.comデスクトップクラウドは対象になりうるサーバーの数。大きさを並べても、会社の対応のよしあしは分かりません。

入口が自社の外だった件も目につきます。GALLERY・2はEC基盤の運営会社の認証情報を取られ、ブラストメールとユミルリンクでは、メールの配信を任せていた会社の側に影響が広がりました。この型は、提供元・委託先の事故7件を図解 自社が狙われなくても漏れる10月の道筋でも取り上げています。

対象に入った項目を数えると

一部の人だけが対象の項目も、1件と数えています。たとえばカプコンの住所と電話番号は、通販サイト「イーカプコン」のマイページに入られた19件だけのものです。

目立つのは、電話番号の多さです。メールなら、迷惑メールのフィルターや社内のメールの仕組みで、ある程度は止められます。でも、電話とSMS、郵便には会社の仕組みが届きません。社員が自分で見分けるしかない経路なので、注意の呼びかけに入れておきたいところです。

一方、ログイン情報を含む4件は、中身がそれぞれ違います。1FEduでは6人のメールアドレスとパスワードが漏れ、それを使った不正ログインも確認されました。Joshinの「ジョーシンのサブスク」は、ログインIDと初期パスワードが対象。FXなびはログイン用の認証情報をすべて無効にし、お名前.comデスクトップクラウドでは、サーバーに保存されていた取引口座のログイン情報などが取られた可能性があるとしています。

カード情報の一部が対象に入ったのは、グッドスマイルカンパニーと楽天トラベルの2件です。どちらも、カード番号の全桁とセキュリティコードは含まないとしています。とはいえ、下4桁と有効期限を言い当てる相手からの電話は、本物らしく聞こえるものです。

社員と取引先が使っていた会社は影響を受ける

自社が事故の当事者でなくても、次のような会社は影響を受けます。

• 社員が、会社のメールアドレスや会社の住所でこれらのサービスに登録している会社。社用の連絡先に、偽の連絡が届くかもしれません。
• ブラストメール、ユミルリンクのCuenote FC、Commerble、タイムズカーの法人会員のように、会社として契約していたサービスがある会社。自社が預かった個人情報が漏れていれば、自社が個人情報保護委員会へ報告する立場になります。
• お名前.comデスクトップクラウドを業務で使っていた会社。取引口座のログイン情報を変え、補償の案内を受け取る担当を決める必要があります。

どのサービスとも契約や登録がない会社は、今回の件の直接の対象ではありません。ただし、ほかの会社を装う詐欺の連絡は、だれにでも届きます。

社内への注意の出し方と確認すること

1. 総務やマーケティング、経理の担当に、会社として契約していたサービスがないかを聞きます。当たるのは、ブラストメール、Cuenote FC、Commerble、タイムズカーの法人会員、お名前.comデスクトップクラウドです。
2. ブラストメールを使っていた会社は、個人情報保護委員会への報告を、運営会社との連名でも出せます。申し込みは10月29日（木）までです。
3. 社内への注意は1通にまとめ、メールだけでなく、電話とSMS、郵便の手口も書き添えます。下の例を、そのまま使えます。
4. 振込先の変更の依頼は、前から知っている番号に電話して確認する。この決まりを、経理と改めて共有しておくと安心です。取引先の情報が対象に入った件が、6件ありました。

件数の大きな公表が続くと、どうしても数字の順に目が行きます。それでも、社内への一言を決めるのは件数より、漏れた項目のほう。次の公表も、まず項目の欄から読むと、何を伝えるかがすぐ決まります。