レゴランド・ジャパン・ホテルの予約基盤に不正アクセス 連絡先情報 最大1,557件

レゴランド・ジャパン・ホテルの公式予約サイトが利用している、外部のオンライン予約プラットフォームが不正アクセスを受けました。予約者の一部の連絡先情報、最大1,557件が影響を受けたとしています。自社のシステムではなく、利用している外部サービスで起きた事故という点が特徴です。

何が起きたのか(経緯)

LEGOLAND Japan合同会社の発表によると、レゴランド・ジャパン・ホテルの公式予約サイトに利用しているオンライン予約プラットフォームを運営するAmadeus IT Group社から、予約情報に含まれる一部の連絡先情報が不正アクセスされたとの報告を受けたとしています。調査の結果、影響を受けた可能性のある予約は1,557件であることを確認したとしています。

影響を受けた可能性があるのは、氏名、メールアドレス、電話番号といった連絡先情報です。一方で、クレジットカード情報などの決済情報、パスワード、金融情報、パスポート情報へのアクセスは確認されていないとしています。レゴランド・ジャパンは、予約情報を装った詐欺メール・SMS・WhatsAppなどの不審な連絡への注意を呼びかけています。

影響を受けるのは誰か

直接の影響を受けるおそれがあるのは、レゴランド・ジャパン・ホテルを予約した利用者です。氏名や連絡先が影響を受けているため、これらを使った、予約を装う詐欺的な連絡に注意が必要です。

この事故の特徴は、不正アクセスを受けたのがレゴランド自身のシステムではなく、予約のために使っている外部のプラットフォームだという点です。「自社が使っている外部サービス(委託先)で起きた事故が、自社の利用者に影響する」という、サプライチェーン(供給網)型の事故の典型といえます。自社が預けているデータや、使っているサービスについて、同じことが起きたらどう動くかを考える材料になります。

情シスが今日やること

• 外部サービスに預けているデータを把握する: 予約・顧客管理・決済など、外部のサービスやプラットフォームに預けている情報が何かを洗い出します。どのサービスに、どんな個人情報を預けているかを一覧にしておきます
• 委託先のインシデント時の体制を確認する: 使っている外部サービスで事故が起きたとき、どのくらいの早さで、どんな情報が連絡されるのか(連絡体制)を確認します。契約や覚書に、通知の取り決めがあるかも見ます
• 利用者への注意喚起を準備する: 連絡先情報が漏れると、予約や取引を装う詐欺的な連絡が増えます。自社の利用者に向けて、不審な連絡のリンク・添付を開かないよう案内する準備をします
• 自社サービスの「見えない範囲」を点検する: 自社のサイトやアプリが、裏側で使っている外部のプラットフォームやSaaSを把握し、それぞれのセキュリティと、事故時の責任分担を確認します

外部のサービスを使うことは、その事故のリスクも一緒に引き受けることになります。どこに何を預けているかを把握し、事故が起きたときの連絡と利用者への案内の段取りを持っておくことが、情シスの実務になります。