プレステージ・コアソリューションから最大約550万件流出 社用車も確認を

社用車の車検証や保険証券を見ても、プレステージ・コアソリューションの名前はまず出てきません。それでも、今回の流出に無関係とは言えない会社があります。

同社の仕事は、取引先から請け負うロードサービスなどの受付と手配です。グループの親会社であるプレステージ・インターナショナルは11月2日、その業務システムから最大約550万件の個人情報が持ち出されたと公表しました。

同じ日に、ソニー損保、アクサ損保、ENEOS、日本カーソリューションズも、自社の委託先の件として知らせました。法人カーリースや自動車保険の契約の先に、もう1社いたわけです。

認証情報を止めても、入られ続けた

検知は10月29日でした。不正に使われた認証情報を無効にしましたが、そのあとも不正アクセスが続き、翌30日にシステムを止めました。

約550万件は、重複を含む最大値です。人数はまだ精査中で、「550万人」と読むのは早すぎます。クレジットカード情報の漏えいは確認されていないとしています。受付の業務は、システムを止めたあとも代わりの運用で続けているそうです。

止めたのに続いた、という順番が気になります。入口が1つのアカウントだけではなかったのかもしれません。日本カーソリューションズの発表には、委託先の報告として一歩踏み込んだ説明があります。

同システムの Web アプリケーションにおいて、情報へのアクセス制御および認証情報の管理に関する不備が確認され、これらの不備が不正アクセスおよび情報の持ち出しにつながったものと考えられると、委託先から報告を受けております。

アクセス制御の不備なら、アカウントを止めるだけでは塞げません。親会社の発表では調査中の原因について、委託元の発表で先に手がかりが読めます。同社も原因の調査は続いているとしており、どんな不備かまでは書かれていません。

同じ日の4社の発表が、そろっていない

委託元の4社は、同じ事故をかなり違う言葉で伝えました。

時刻の意味も違います。ソニー損保の10月30日11時ごろは報告を受けた時刻で、ENEOSの11月2日10時20分ごろは漏洩が判明した時刻です。連絡の早い遅いを比べる材料にはなりません。

項目も同じではありません。ENEOSの欄にある生年月日とリース期間は、親会社の発表にはありません。逆に、親会社の発表にある口座の情報を、ENEOSは含まないとしています。

ENEOSは「当社のお客さまに関する情報漏洩についてお知らせしているため」、プレステージ・コアソリューション社の発表とは対象範囲や件数等が異なると断りました。ただ、範囲を絞っただけなら項目は増えません。生年月日とリース期間が加わり、メールアドレスや事故・故障の受付が並ばないのは、この理由だけでは説明がつきません。

つまり、550万件という数字と項目の一覧だけでは、自社の車の分は判断できません。各社の発表がそろわないのは、社債の特典の件でも同じでした。

対象の範囲も読み違えやすいところです。親会社の発表の対象は「ロードサービスを利用したお客様」です。ところがENEOSの最大8,500件は「漏洩した可能性のある契約件数」で、ロードサービスを呼んだかどうかにはふれていません。リースの車なら「故障していないから関係ない」とは言いにくいでしょう。

社用車のある会社は、どこまで関係するか

次のどれかに当たる会社は、確認が要ります。

• 社用車を日本カーソリューションズかENEOSカーリースで借りている。
• ソニー損保かアクサ損保の自動車保険で、ロードサービスを呼んだことがある。法人向けの契約は、アクサ損保が9台以下で、ソニー損保も10台以上は受けていないので、台数の少ない会社が中心でしょう。
• 親会社の発表にある「協力会社様」にあたる。整備やレッカーで協力する会社を指すと読めます。
• 4社のほかのリース会社や保険会社、ディーラーから連絡が届いた。親会社の発表は取引先の名前を挙げておらず、公表する会社はこれから増えるかもしれません。

法人の契約でも、漏れるのが会社の情報だけとは限りません。ロードサービスを呼ぶ人は、運転していた社員だからです。受付で伝えた名前や携帯電話の番号が記録に残っていても不思議ではないでしょう。受付の情報の中身は、どの発表にも書かれていません。

どの会社とも取引が無いなら、今日急いで動くことはありません。取引先の名前は公表されていないので、リース会社や保険会社からの連絡を受ける人だけ決めておきます。社員が個人の車で4社の保険やリースを使っている場合は、本人あての案内を待つことになります。

事故の話から入る電話に備える

親会社と日本カーソリューションズの発表に並ぶ項目では、組み合わせがいちばん気がかりです。車の登録番号と事故や故障の受付の情報を知っている相手からの電話は、本物に聞こえます。

たとえば「先日の故障の件で、修理代の精算先を確認させてください」と言われたら、どうでしょう。これは編集部の作例ですが、登録番号と故障の日を言われれば、総務の担当者でも疑うのは難しいはずです。

プレステージは、関係先をかたる不審な電話、メール、SMSに注意するよう呼びかけています。本件で電話やメールからパスワードや口座の暗証番号を尋ねることはない、とも明記しました。公表の時点で二次被害は確認されていません。

社用車の台帳を開いて確かめること

今日は注意の周知、今週中に台帳の確認と問い合わせ、という分け方で進めます。

1. 車を運転する社員に、今日のうちに短い注意を流します。

   社用車のロードサービスの電話を受ける会社が不正アクセスを受け、車両や事故・故障の受付の情報が持ち出されたと公表されました。当社の車が含まれるかは確認中です。
   事故や故障の件を名乗る電話、メール、SMSで、支払い先の変更や口座の情報を求められたら、その場で答えず、総務へ連絡してください。
   

   ソニー損保の保険の車には、もう1行足します。ロードサービスデスクの電話がつながりにくくなっており、自分で手配した場合は領収書を保管して後日連絡する、というのが同社の案内です。

2. 総務か車両の担当者と、社用車の台帳を開きます。見る列は、リース会社、任意保険の会社、ロードサービスの連絡先の3つです。

3. 4社のどれかがあれば、発表の窓口か営業の担当者に聞きます。聞くことは3つです。自社の契約と車が対象か（ENEOSカーリースなら法人向けのプランも発表の対象か）、運転者の氏名や電話番号が含まれるか、口座の情報が含まれるならだれの口座か、です。

4. 事故報告書や修理の記録から、ロードサービスを呼んだ車と運転者を拾います。退職した人の分も残します。本人に個別に知らせるかどうかを決める材料になります。

5. リース会社と保険会社からの続報を受ける人を1人に決め、個人情報の担当者にも伝えます。プレステージは、対象の人への案内を取引先と協議して進めるとしています。連絡は契約相手から届くと考えておくのがよさそうです。

次の更新で見積もりを取るとき、リース会社と保険会社に聞くことが1つ増えそうです。ロードサービスの受付は、どの会社のシステムで動いているのか。その名前を事故の発表で初めて知る、という順番は、できれば今回で終わりにしたいところです。