花キューピットに不正アクセス 会員約424万件のIDとメールアドレスが漏えい

名前も住所も、クレジットカードの番号も漏れていません。外に出たのは、ログインに使うユーザーIDと暗号化されたパスワード、それにPC用と携帯用のメールアドレスです。

花キューピットは10月28日、運営する「インターネット花キューピット」と「ビジネス花キューピット」の管理システムが不正アクセスを受け、会員情報4,238,242件が漏えいしたと公表しました。ビジネス花キューピットは、取引先の開店祝いに贈るスタンド花や胡蝶蘭、お供えの花を扱う法人向けの通販です。会社の名義で花を手配している総務や秘書の担当にも、関係してくる話です。

漏れた4項目と、漏れなかった9項目

花キューピットの発表は、漏れた情報と、漏れていない情報を分けて書いています。

社名と部署名は漏れていません。ただ、会社のメールアドレスで登録していれば、アドレスのドメインから勤め先は分かります。届け先の情報が無事なので、取引先の住所や担当者の名前まで外に出たわけではない点は救いです。

対象は、公式の通販サイトでメールアドレスを登録した会員です。退会した人も含まれ、同社は個別に案内を進めています。退会したアカウントは、ログインできない状態にしてあるそうです。

カードの情報について、同社は、このデータベースには持っていなかったと説明しています。カードの停止や再発行は、この件を理由にしなくてよいとしています。

14日に入られ、19日に気づき、28日に公表

不正アクセスがあったのは、10月14日から15日にかけてです。同社は調べていく中で、19日に会員情報が漏れたことを確認しました。

公表は、その9日後です。

同社は、攻撃に使われた経路をすべて遮断し、ネットワークのアクセス制御と監視を強めました。その後、新たな不審な動きは見つかっていないといいます。個人情報保護委員会と警察にも報告し、外部の専門の機関と原因を調べています。

対象の会員には、28日から、登録しているメールアドレスへ順次連絡します。アドレスを変えたなどの理由でメールが届かない会員には、このお知らせで連絡に代えるとしています。

一方で、どの経路から管理システムに入られたのかは、まだ公表されていません。パスワードをどの方式で暗号化していたのか、法人の会員が何件含まれるのかも分かりません。

「解読できない形式」でも、パスワードは変えておく

花キューピットは、漏れたパスワードは復元も解読もできない形式で保存していたと説明しています。すぐに第三者にアカウントを不正に使われる可能性は低い、という判断です。

それでも同社は、万全を期すため、パスワードを変えるよう勧めています。同じログインIDとパスワードをほかの会社のサービスでも使っていれば、そちらも変えてほしいとしています。

情シスとして気になるのは、ユーザーIDの決まりです。

同社のよくある質問によると、ユーザーIDの初期値は、登録したメールアドレスです。初期値のまま使っている会員なら、攻撃者の手元には、メールアドレスと暗号化されたパスワードの組がそろったことになります。

不可逆の形式で保存していても、方式が古ければ、短いパスワードや辞書にある語は総当たりで割り出されることがあります。方式が分からない以上、使い回していたパスワードは、漏れたものとして扱うほうが安全でしょう。使い回しが会社のアカウントに及ぶ怖さは、ブックオフの不正アクセスの記事でも取り上げました。

関係するのは、公式サイトで会員登録した会社と社員

いちばん関係するのは、ビジネス花キューピットに、会社のメールアドレスで会員登録している会社です。総務の共有のアドレスで1つのアカウントを作り、何人かでパスワードを使い回しているなら、なおさらです。

社員が個人の会員として、会社のアドレスで登録していた場合も、漏れたアドレスは会社に届きます。花の注文やお詫びを装う偽のメールが、会社の受信箱に来る入口になります。

関係が薄いのは、次のような買い方だけの人です。

• 電話で注文し、メールアドレスを登録していない
• 外部のショッピングモールのサイトで注文した
• 花キューピットの加盟店（街の花屋）の店頭で買った

いずれも、同社は対象外としています。

総務の担当と確認すること

花の手配は年に何度もありません。担当が替わると、アカウントがあること自体が忘れられがちです。次の順で確かめると、半日ほどで終わるはずです。

1. 総務、秘書、営業の担当に、花キューピットの公式サイトで会員登録しているかを聞きます。共有のアドレスで作ったアカウントなら、パスワードを知っている人も洗い出します。
2. 登録があれば、パスワードを変えます。同じパスワードをほかの通販や業務のサービスで使っていないかも聞き、使っていればそちらも変えます。Microsoft 365など会社のアカウントと同じだった場合は、情シスでパスワードを変え、サインインの記録を見ます。
3. 社内に一言知らせます。花の注文の確認やお詫び、補償を名乗るメールが来ても、リンクを開かずに、公式サイトを自分で開いて確かめるよう伝えます。同社は、メールやSMS、電話でパスワードやカードの番号を聞くことは無いとしています。
4. 外部の通販サイトのアカウントを、台帳に載せます。サイトの名前、登録したアドレス、使っている部署と担当を書いておけば、次に同じような公表があったとき、すぐに当たりを付けられます。

社員への案内の文面に迷うときは、「このメール、詐欺ですか?」問い合わせを減らす判定と報告の型の型も使えます。

漏れたのは4項目だけで、カードも住所も無事でした。ただ、会社のアドレスとパスワードの組は、花の通販の外でも使われかねません。総務の机の引き出しにあるパスワードのメモまで含めて、一度見直しておきたいところです。