オープンロジ流出 お届け先7か月分、委託元も報告と通知の当事者に

オープンロジに商品の発送を任せていた会社には、荷物の届け先への注意と、個人情報保護委員会に報告するかどうかの判断が回ってきそうです。物流代行のオープンロジが11月11日、自社のシステムが11月8日から9日にかけて不正アクセスを受け、預かっていた出荷データの一部を外部に持ち出されたと公表しました。

対象は、4月8日から11月8日までに依頼された出荷のお届け先です。範囲と件数は、まだ調べている途中だといいます。

名前と住所に、買った商品までそろう

漏えいした個人情報として、オープンロジはお届け先の氏名、住所、電話番号、メールアドレス（登録されている場合）を挙げ、商品名や数量といった商品情報も加えました。クレジットカード番号は、もともと持っていないので対象に入りません。

把握している侵入の経路は11月9日に断ち、それ以降の不正アクセスは見つかっていません。倉庫の入荷と出荷も、緊急メンテナンスで一部のシステム操作に影響が出ているほかは、ふだんどおり。11日の時点で、悪用や二次被害は確認されていないとのことです。

気がかりなのは商品名です。何を買ったかを知っていれば、「ご注文の品のお届けで確認があります」と、本物らしい偽の配送連絡を作れます。名前と電話番号だけが漏れた件より、引っかかる人は増えるでしょう。

影響を受けるかは、出荷を頼んだ時期で決まる

4月8日から11月8日までにオープンロジに出荷を依頼した会社は、自社のお届け先が含まれているおそれがあります。自社ECの注文に限りません。モールの注文や、販促物とサンプルの発送を任せていたなら、その届け先も出荷データに入っています。

オープンロジと契約していない会社は、この件で手を動かさなくてかまいません。契約はあっても期間内に一度も出荷を頼んでいない会社は、今の発表の範囲では対象外です。ただ、範囲はまだ調べている途中なので、続報で期間が変わらないかは追っておきます。

社員が自分の買い物で荷物を受け取っていた場合は、届け先の一人として、店から注意の連絡が来るかもしれません。会社として報告する立場ではないものの、届け先を勤め先にしていたなら、偽の配送連絡が会社のメールや代表電話に届くこともありえます。

届け先への注意を、オープンロジは委託元に頼んだ

発表の後半で、オープンロジは取引先の会社に頼みごとをしています。漏れた情報が、配送業者などを装ったメールやSMS、電話に使われるおそれがあるため、お届け先に3つのことを伝えてほしいという内容です。身に覚えのない配送通知は開かない。不審なURLにアクセスしない。個人情報や決済情報の入力を求められても応じない。

オープンロジ自身がお届け先へ直接知らせるかには、発表は触れていません。

委員会の指針によると、委託先で起きた漏えいでも、報告しなければならない事態に当たるなら、原則として委託元と委託先のどちらにも報告の義務があります。報告は2社の連名でも出せます。委託先が委託元に必要なことを知らせたときに限って、委託先は報告と本人への通知の義務から外れ、そのぶんを委託元が担う形です。自社が当てはまるかどうかは、最後は法務か顧問の弁護士と決めることになります。

メールアドレスがないお届け先のように、直接知らせるのが難しい人もいるでしょう。本人への通知が難しいときは、事案の公表や、問い合わせ窓口を公表するといった代わりの措置も、指針は認めています。

期限の数え始めにも気をつけてください。指針によると、法人ではどこかの部署が事態を知った時点が基準で、委託元は通常、遅くとも委託先から通知を受けた時点で知ったことになります。つまり、EC担当が読んだ日ではなく、オープンロジの連絡が社内のだれかに届いた日です。

期限は2段あります。速報の目安は知ってから「概ね3～5日以内」で、その時点で分かっていることを出せば足ります。不正アクセスのように不正の目的が疑われる件は、本人の数が1,000人に届かなくても報告の対象で、確報は60日以内。11日に通知を受けた会社なら、速報の目安は14日（土）から16日（月）までです。10日に受けていれば13日から15日まで。週末を挟むので、13日（金）までに出せる形にしておくと慌てずに済みます。

当日に出た委託元2社の発表

11日のうちに、委託元の発表も2つ出ました。「Bitfan」を運営するSKIYAKIと、「Palette Project OFFICIAL STORE」を運営するjig.jpです。同じ日の発表でも、2社が書いた中身はかなり違います。

3つとも11月11日の発表です。「記載なし」は、その発表に書かれていない項目を指します。

表でまず目を引くのは、jig.jpが住所に「郵便番号、建物名、会社名を含む」と書き足したところです。届け先に会社名まで入るなら、勤め先で荷物を受け取った人も、取引先の事務所あての出荷も、対象に入ってきます。漏れたのは個人の自宅だけ、とは言えません。

SKIYAKIは「第一報」とし、期間と件数には触れませんでした。オープンロジから届いた情報だけでは、自社の客がどこまで含まれるかを、まだ切り分けられないのでしょう。

それでも、2社とも件数が出る前に最初のお知らせを出しました。偽の配送連絡が届き始める前に、注意だけは先に伝えておく。委託元にとって、いちばん早く打てる手です。

Amazon連携の30日と、ほかの販路の保存期間

オープンロジは10月30日に、Amazonの出品者出荷（FBM）との連携を発表したばかりでした。そのリリースには、次の一文があります。

Amazonの規約に準拠したセキュリティ基盤を構築しており、出荷後30日が経過した個人情報の自動マスキング処理およびログ削除機能を標準で備えております。

FBMとの連携は10月30日に始まったばかりで、持ち出された11月8日の時点では、FBMの出荷はまだ30日たっていません。30日で隠す仕組みも、Amazonの規約に合わせた機能として書かれています。Shopifyや自社のカートから入った出荷のお届け先を、何日残す決まりだったのか。11月11日の発表にも10月30日のリリースにも、そこは書かれていません。7か月分がまとめて持ち出されたことから、少なくともその期間のお届け先は残っていたことが分かります。

委託元の側から、ここはいちばん見えにくい所でしょう。オープンロジはShopifyやBASEなどのECカートとAPIでつながり、自動で出荷できると案内しています。注文が入るたびにお届け先が委託先へ渡り、出荷のあとに何日残るかは、委託先の運用で決まります。出荷が済んだお届け先を何日で消しているかを契約書か問い合わせで押さえておけば、自社の分がどこまで残りうるかを見積もれます。

届け先へのお知らせまでの段取り

速報の日付は、11日に通知を受けた場合の目安です。連絡が9日か10日に届いていた会社は、目安が12日から始まります。委員会の「漏えい等報告について」のページに載る、委託先の事例の記入例も参考になるでしょう。

お届け先への文面には、オープンロジの3点に加えて、自社からの本物の連絡がどの経路で届くかを書いておくと、偽物と見分けやすくなります。たとえば、SMSを使っていない会社なら「当社からSMSでお知らせすることはありません」の一文が、そのまま偽の配送連絡を見分ける目印になります。