アイリスオーヤマの公式通販サイト「アイリスプラザ」が、不正アクセスを受けて止まりました。運営する株式会社アイリスプラザが10月29日、アイリスオーヤマのニュースリリースで発表しました。サイトのトップを開くと、今は「ECサイト一時停止のお知らせ」だけが出ます。
お知らせに書かれていること
同社はECサイトで不正アクセスを確認し、お客様の安全のためにサイトを一時停止しました。漏えいの可能性も含め、いまは調査の途中です。
| 項目 |
10月29日のお知らせ |
| 起きたこと |
ECサイトで不正アクセスを確認 |
| 止めたもの |
公式通販サイト「アイリスプラザ」 |
| クレジットカード情報 |
現時点の調査では、漏えいは確認されていない |
| そのほかの情報 |
引き続き調査中 |
| これから |
詳細が分かり次第、ホームページで知らせる |
| 問い合わせ |
アイリスプラザのコンタクトセンター（0120-108-824、平日・土曜の9時30分〜17時） |
止まったサイトの画面には、楽天市場店、Yahoo!店、auPAYマーケット店と、ほかのモールに出している店は利用できる、とも書かれていました。編集部が10月30日に開いたときも、サイトはこの画面のままでした。
いつ入られたのか、いつサイトを止めたのか、入口はどこか、何人の会員がいるサイトなのかは、まだ書かれていません。
「カードは確認されず」は、ほかの情報が無事という意味ではない
第一報でいちばん読み違えやすいのが、カードの一文です。「クレジットカード情報の漏えいは確認されておりません」は、カードの情報について今の調べで分かったことで、住所やメールアドレス、パスワード、注文の履歴が無事だという意味ではありません。その他の情報は引き続き調べる、とお知らせ自身が書き分けています。
10月に伝えた通販や会員サイトの事故を並べると、この分かれ方はよく出てきました。
10月の通販・会員サイトの事故で、カードの情報についての説明と、ほかに漏れた情報作成: 編集部 / 出典: 各社の発表、アイリスオーヤマ、日本クレジット協会
| 会社 |
カードの情報についての説明 |
ほかに漏れた情報（可能性を含む） |
| Joshin |
カード情報は持っていない |
会員情報 最大約600万件に漏えいの可能性（氏名・住所・電話番号・会員番号） |
| 花キューピット |
カード番号は漏れていない |
約424万件（ユーザーID・暗号化されたパスワード・メールアドレス） |
| ファンケル・アテニア |
決済情報は含まれない |
計約83万件（氏名・住所・電話番号・メールアドレスなど） |
| ビューティガレージ |
カード情報の流出はない |
775,725件（サロン名・氏名・メールアドレス・電話番号など） |
| グッドスマイルカンパニー |
最初は下4桁と有効期限まで。第3報で決済ページの改ざんが判明し、2,800人のカード番号の全桁などに漏えいの可能性（報道による） |
氏名・住所・注文の中身など |
では、なぜカードの情報は出てこないのでしょうか。考えられる理由の一つは、カードの情報を店が持たない作りです。2018年6月に施行された改正割賦販売法で、カードを扱う店にはカード番号などを適切に管理することが義務づけられました。日本クレジット協会によると、通販の店に求められるのは、カードの情報を自社で持たない「非保持化」か、国際基準のPCI DSSに沿うことです。非保持化した店ならカード番号はそもそも手元に無いので、「カードは漏れていない」は出やすい一文でしょう。もっとも、アイリスプラザがカードの情報を持たない作りかどうかは、お知らせに書かれていません。
ただ、同じ日本クレジット協会は、非保持化した通販の店でもWebサイトの脆弱性などからカード情報が盗まれる事故が起きている、と注意を促します。グッドスマイルカンパニーの件では、決済ページに不正なプログラムが置かれ、その間にカードの情報を入れた人の番号が漏れた可能性があると報じられました。つまり、番号を持っていない店でも、入力される瞬間は狙われます。
アイリスプラザの次の発表で見る点は、2つあると編集部は考えます。1つは、住所やメールアドレス、パスワード、注文の履歴が対象に入るかどうか。もう1つは、決済のページに手が入っていなかったかどうかです。カードについては「確認されていない」という今の言い方なので、調べが進めば変わる余地は残ります。
家電と備品の店だから、会社にも関わる
アイリスオーヤマは、家電や寝具、収納から、オフィスの収納や用品まで扱うメーカーです。アイリスプラザは、その公式の通販サイトにあたります。個人の買い物だけでなく、会社の備品を総務や購買がここで買っていることもあるでしょう。その場合、会員の登録に使ったのは会社のメールアドレスと会社の住所でしょう。
止まっているあいだもモールの店では頼めますが、そこではアイリスプラザの会員のアカウントではなく、それぞれのモールのアカウントで注文することになるでしょう。定期的に頼んでいる消耗品があれば、頼み先を一時的に変える段取りが要ります。
会員と、備品を買う会社が対象 使ったことがなければ影響しない
- アイリスプラザの会員や、ここで買い物をしたことがある人は、調べの結果しだいで影響を受けるおそれがあります。今の時点で、カードの情報の漏えいは確認されていません。
- 会社の備品をアイリスプラザで買っていた会社は、会社のメールアドレスや住所、担当者の名前が対象に入るかもしれません。会社あてに偽の連絡が届くおそれがあります。
- サイトでの注文は、再開まで止まります。楽天市場店、Yahoo!店、auPAYマーケット店などのモールの店は利用できます。
- アイリスプラザを使ったことのない人・会社は、今の時点で対象外です。ただし、アイリスオーヤマやアイリスプラザを名乗る偽の連絡は、だれにでも届きえます。
総務・購買と確認すること
- 総務や購買に、アイリスプラザに会社のアカウントがあるかを聞きます。あれば、登録したメールアドレスと、同じパスワードを使っているほかのサービスを書き出してもらいます。使い回しがあれば、そちらを先に変えます。
- アイリスプラザで会社のカードを使っていたら、カードの管理者に伝え、次の発表が出るまでは利用明細をこまめに見てもらいます。グッドスマイルカンパニーのように、あとから決済ページの改ざんが分かった例があるためです。
- 定期的に頼んでいる消耗品や備品があれば、再開まではモールの店で頼むか、ほかの頼み先に回すかを決めます。
- 社員には、アイリスオーヤマやアイリスプラザを名乗るメールやSMSのリンクを開かないよう伝えます。確認するときは、お知らせに載ったコンタクトセンター（0120-108-824）か、自分で開いた公式サイトを使います。
- 自社で通販サイトを運営しているなら、Webの担当と、決済のページの改ざんに気づく仕組みがあるかを確認します。カード情報を持つかどうかにかかわらず、自社のシステムとサイトを定期的に点検するよう、日本クレジット協会も通販の店に求めています。
アイリスプラザは調べの状況と今後の対応を、分かり次第ホームページで知らせるそうです。次の発表で対象の情報が分かったら、この記事も更新します。
