情報漏えい18件を図解 10月29日〜11月2日、件数の単位は4種類

約7,700万件。メール配信サービス「アララ メッセージ」を運営するアララが11月2日に出した第2報の数字は（アララの件の記事）、この5日間の公表のなかで飛び抜けています。ただ、数えているのはメールアドレスです。1人が複数のアドレスを持つこともあるため、「最終ユーザー数を示すものではありません」と同社自身が断っています。

10月29日から11月2日までに、国内の会社や団体が公表した情報漏えい・不正アクセスは、情シスの相棒の数えで18件でした。件数を出した13件の単位は、「件」「人（名）」「延べ件」「メールアドレスの数」の4種類に分かれます。前回のまとめは10月28日の7件です。同じ10月28日に公表されたベネフィット・ワンのトク買（2万9,465人）、ドン・キホーテなど4社の時計修理の委託先、電力・ガス取引監視等委員会の電取ネットの件は、それぞれの記事で確かめられます。

「件」と「人」と「延べ」は足せない

いちばん多いのは「件」で出した6件ですが、中身はそろっていません。「人」「名」で出した3件も、重なりの除き方を書いたのはGMOトラスト・ログインだけです。MyBRANDSの最大約13.5万件はアカウントの数で、退会者を含みます。松屋フーズの2,377,127件は、松弁ネットやモバイルオーダーの利用者の数です。

「延べ」は、同じ人を何度も数えうる書き方です。ワールドの子会社ティンパンアレイは延べ約120万件、朝日新聞社は延べ70,921件としました。朝日新聞社の件は、イベントなどで集めたアドレス帳の分で、9割超がメールアドレスだけです。

単位の割れ方がいちばんよく見えるのは、デジタル特典付き社債の件です。NTTデータの委託先が不正アクセスを受けたもので、7社が別々に公表し（ほかにNTTデータ）、件数を出したのは6社でした。楽天証券は延べ362件、SBI証券は1,169名、近鉄グループホールディングスは2,678件としています（社債の件の記事）。

だから、5日間の数字を足して「約9,000万件」と言っても、何の大きさにもなりません。個人情報保護委員会の報告の「延べ2.6億人」が実人数でないのと同じです（報告の表の読み方）。社内で共有するときは、件数に発表の単位を付けたまま書き、合計は出さないほうが誤解を生みません。

発表の本文で件数を確かめられなかった5件もあります。アイリスプラザは漏えいの可能性を含めて調査中、NTTスマイルエナジーは件数を精査中です。外務省の約3,600件と、良品計画のMUJIアプリの最大約2,726万件は報道で伝えられた数字で、情シスの相棒は両者の発表の本文を確認できていません。良品計画は11月2日にも、オーダーカーテンの客の情報が流出した可能性について知らせを出しましたが、その本文も未確認です。

重さは件数ではなく、そろった項目で決まる

氏名、住所、電話番号、メールアドレス、生年月日の5つがそろったのは、クラブツーリズム、@cosme、ティンパンアレイの3件でした。件数が最大のアララは、メールアドレスに加わる項目が契約企業ごとに違い、この3件には入りません。

クラブツーリズムの約432万件には、緊急連絡先と国籍も入っています（クラブツーリズムの記事）。緊急連絡先は、多くの場合、本人ではなく家族の名前と電話番号でしょう。@cosmeの約300万人には、肌質や髪質まで入りました（@cosmeの記事）。どちらも、本人に合わせたそれらしい連絡を作れる材料です。

件数が小さくても、使い道のある項目があります。GMOトラスト・ログインの45,030人には、連携しているSaaSの名前が入り、社員番号や所属を属性に入れていた会社では、それも含まれました。請求送付先の担当者194人は、住所と電話番号も対象です。だれがどのサービスを使っているかが分かれば、そのサービスの名前をかたる偽の連絡を、その社員に宛てて作れます（GMOトラスト・ログインの記事）。ANAの約37,800名のうち約1,700名は、旅券番号まで参照された形跡がありました。

パスワード（暗号化や変換をした値を含む）が入ったのは4件です。松屋フーズはアプリ会員2,000件の暗号化されたパスワード、ヤクルト本社は給食サイトの会員の暗号化された登録パスワードでした。MyBRANDSはログイン用パスワードを変換した値で、求職者だけでなく、求人企業の担当者のアカウントも対象です。太陽光の遠隔監視サービス「エコめがね」のNTTスマイルエナジーは、施主とパートナー企業のログインIDとパスワードが漏れた可能性があるとしています。後の2件は、採用の担当者や、設備を持つ会社の担当者が、仕事のアカウントとして登録しているはずです。

入口は14件のうち6件が自社の外

項目を確かめられた14件を入口で分けると、6件は外部のサービス、委託先、提携先でした。ANAは旅客サービスシステムの提供元Amadeus、Japanticketは外部の分析ツール、KDDIは提携先ライフネット生命の連携システムが、不正アクセスを受けた場所です。

さらに2件は、法人向けのサービスそのものが入口です。アララとGMOトラスト・ログインで、サービスを使う会社の側にも、利用者への連絡や報告の判断が回ってきます。

アララの第2報では、10月28日に共用の環境を止めたあとも、10月29日1時36分から30日2時22分にかけて、サービスのサーバーを経由した持ち出しが続いていたことが分かりました。同社がこれを把握したのは10月31日の午前で、同じ日の19時53分に、アララ メッセージの提供をすべて止めました。ほかのサービスに影響はないとしています。第1報で対象を「1システム」としていたのが、第2報ではサーバー97台、最大約380社に広がりました。利用企業は、最初の知らせで対象外とされても、続報で覆る前提で待つことになります。ユミルリンクのCuenote FCでも、同じことが起きました。

アララのサービスは、乗っ取られて不審なメールの送信にも使われました。10月28日から30日にかけて、送信元を「news@arara.com」とする最大約713万通で、件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」などです。宛先は第三者が外から持ち込んだアドレスで、アララの利用者とは限りません。正規の配信の仕組みから送られたメールは、送信元のドメインの認証を通ることがあり、それだけでは偽物と判断できません。

アララ メッセージ、GMOトラスト・ログイン、Cuenote FCのどれも使っていない会社には、委託元としての連絡や報告の作業は回ってきません。その場合に残るのは、社員あての偽の連絡への備えです。

5日間の18件の一覧

確認から公表までは、クラブツーリズムが10月30日5時45分の検知から1日、アイスタイルが10月28日の確認から5日でした。公表が5日後になる会社もあるので、社員への注意は、各社の個別の連絡を待たずに出します。

情シスが今週確かめること

1. メールの記録で、10月28日〜30日に「news@arara.com」から届いたメールを探します。Microsoft 365ならメッセージ追跡、Google Workspaceならメールログ検索で送信者に指定できます。届いていた社員には、本文のリンクを開いたか、カードの情報を入れていないかを聞きます。
2. 広報、マーケティング、通販の部署に、アララ メッセージを使っていないかを聞きます。アララは再開のとき、管理画面のパスワードとAPIキーなどの再設定を求める予定です。使っていれば、だれが設定し直すかと、配信の仕組みとつないでいる社内のシステムを書き出しておきます。
3. 社員に短い注意を出します。旅行や化粧品の会社からは、本物の連絡もメールで届く時期です。@cosmeは「cosme.net」のドメインから対象者へ順次連絡し、11月6日に終える予定です。クラブツーリズムはサイトの再開より前にツアーに参加する客へ、集合の時刻と場所をメールで送るとしています。本物と偽物が同じ時期に届くので、伝えるのは「リンクを開かず、公式のサイトかアプリから確かめる」の1行です。
4. 出張の手配でANAを使っている会社は、総務や出張の担当と、旅券番号を入れた予約がなかったかを確かめます。対象の人には、ANAから順次連絡が来ます。
5. 外部の分析ツールや配信サービスに渡している項目を、委託先の台帳に書き足します。Japanticketの件のように、自由に書ける備考欄は、中身を読むまで重さが分かりません。

件数の見出しは、続報のたびに変わります。どのサービスに何を渡しているかが台帳に1行あれば、次の公表でも、件数を待たずに自社への影響を見積もれます。