発注のフォームの送付先の欄に、現場や取引先の担当者の名前と電話番号を書いていませんか。古河電工パワーシステムズのWebシステムで防災製品を頼んでいた会社なら、その連絡先まで漏れたかもしれません。
送変電の機材や延焼防止材などを作る同社は10月26日、防災製品部の出荷管理用Webシステムに、外部からの不正アクセスが疑われると公表しました。件数は、まだ精査中です。
漏れたかもしれないのは、2種類の人の情報
同社によると、閲覧や取得をされた可能性があるのは次の2つです。1つは、システムに発注者として登録された人の会社名、氏名、住所、電話番号。もう1つが、発注者が製品の送付先として登録した取引先などの、会社名、担当者の氏名、住所、電話番号です。
古河電工パワーシステムズの発表の影響範囲の表。送付先の情報も対象出典: 古河電工パワーシステムズ株式会社「個人情報漏えいの可能性に関するお知らせとお詫び」(引用)
後者は、同社と直接の取引がない人の情報でもあります。工事の現場や、製品を受け取る協力会社の担当者を送付先に書いていれば、その人たちも対象に入ります。B2Bの発注の仕組みでは、取引先のさらに先の連絡先まで預けている、というわけです。
同社は、このシステムのほかには影響がないことを確認したとしています。クレジットカード情報と口座情報は、このシステムでは扱っていません。
14日に止め、26日に公表した
異常を見つけたのは10月14日でした。調べたところ不正アクセスが疑われ、同じ日のうちにシステムと関連するサーバーを止めたとしています。いまは外部の専門機関と、原因、影響の範囲、漏えいの有無を調べている段階です。
関係機関への報告は済ませています。一方で、受注と出荷の業務はふだんどおり続いています。漏えいしたかもしれない情報が不特定多数に公開された事実や、不正に使われた事実は、確認していないとしています。
まだ分からないことも残ります。侵入の経路や原因、対象の人数、いつからいつまでの登録が対象か、の3点。同社は、対象の範囲が分かった段階で、送付先の人も含めて通知するとしています。
影響を受ける会社は、発注と送付先で分かれる
- 影響を受ける: このシステムで防災製品を発注した会社です。発注の担当者の会社名、氏名、住所、電話番号が対象になりえます。
- 影響を受ける: 製品の送付先になっている会社です。自社で発注していなくても、取引先が送付先に書いていれば、担当者の氏名や電話番号が含まれます。
- 影響しない: このシステムを使っておらず、送付先にもなっていない会社です。同社は、ほかのシステムには影響がないとしています。
自社が送付先として登録されているかは、自社だけでは分かりません。発注をくれた取引先から連絡が来るか、同社からの通知を待つことになります。
取引先への連絡を含めて確認すること
対象の情報と経緯、発注した会社が確認すること作成: 編集部 / 出典: 古河電工パワーシステムズ株式会社「個人情報漏えいの可能性に関するお知らせとお詫び」
- 総務や購買の担当に、このシステムで防災製品を頼んだ部署と担当者を聞きます。
- 送付先として登録した相手を一覧にします。現場、協力会社、取引先の倉庫など、発注のたびに書いた先も含めます。
- 送付先の相手に、自社からも知らせるかを決めます。同社は対象の人へ通知するとしていますが、取引先との関係を考えると、先にひと言伝えておくほうが角が立ちません。
- 同社、関係会社、配送会社を名乗る電話、SMS、郵便物に注意するよう、発注の担当者と受付に伝えます。同社は、個人情報やパスワード、カード番号の入力を頼むことはないとしています。
漏れたかもしれない項目は、会社名、氏名、住所、電話番号と、ありふれたものです。ただ、どの会社が、どの現場に、どの製品を送ったかという取引の形と結び付くと、配送会社を装った電話の筋書きは作りやすくなります。送付先の一覧を手元に置いておけば、不審な連絡が来たときの判断がずっと早くなるでしょう。
