委託先の事故 委託元15件の発表で自社の件数を出したのは8件

委託先から自社分の流出を知らされた委託元は、たいていその日か翌日に発表しました。発表まで日が空いた所には、その前に「漏えいはない」という報告が届いていました。

11月2日から4日にかけて、基盤の会社1社ずつで起きた事故が、委託元の発表を次々に呼びました。メール配信のアララ、ロードサービスの受付を担うプレステージ・コアソリューション、配送プラットフォーム「ピックゴー」を運営するCBcloudの3件です。11月5日朝までに読めた委託元の発表は15件です。そのうちアララの委託元は9件で、影響を受けた契約企業は最大約380社と推計されています。15件のうち自社の件数を出したのは8件で、顧客に個別に知らせる手段まで書いたのは3件でした。

1件ずつの経緯は、アララの件、プレステージ・コアソリューションの件、ピックゴーの件の記事でご覧いただけます。15件を同じ項目で見ると、委託元が自分で決めていたことと、委託先の答えを待つしかなかったことが分かれます。

3つの基盤の先に、委託元が15件

アララの先には、メール配信を任せた会社と自治体が並びます。TKCの先にはさらに横浜市、大阪市、姫路市があり、姫路市の発表によれば、TKCからアララへの委託は「再委託」にあたります。プレステージ・コアソリューションの先は損害保険会社とリース会社、CBcloudの先はデリバリーの2社です。

件数の出どころも意外でした。CBcloudは11月3日の第2報で流出した可能性のある範囲を特定しましたが、件数は書いていません。それでも7NOWと出前館は、同じ日の発表に項目ごとの件数を載せました。どちらも「CBcloudの調査により」と書いていて、委託先が委託元ごとの数を渡していたことになります。

アララも同じです。公表したのは全体の約7,700万件までで、両備バスの延べ4万3,221件やZaifの38万536件は、委託元の発表にしか出てきません。アララは11月4日のお知らせで、影響範囲が分かった契約企業に流出件数を順次個別に知らせているとしています。つまり、顧客が目にする自社の数字は、委託先ではなく委託元の発表から出るわけです。単位がそろわない点は、10月29日〜11月2日の情報漏えい18件の図解でご覧いただけます。

ただ、流出の知らせと一覧は同じ日に届くとは限りません。Zaifは11月2日夜に自社分の流出を確認したとの報告を受け、流出したメールアドレスの一覧を受け取ったのは11月4日でした。今使っている顧客が何人含まれるかは、まだ確認中です。

長引いたのは「漏えいはない」の報告のあと

アララの初報は10月28日です。読めた委託元9件の最初の発表は、11月2日に6件、3日に3件で、初報から5〜6日あとでした。どれも、アララが範囲の拡大を伝えた11月2日の第2報のあとです。

その前に、委託元には逆向きの答えが届いていました。TKCは10月28日にアララから不正アクセスの報告を受けました。30日に届いたのは「TKCの利用環境からの情報漏えいはない」という報告です。同じ報告は、TKCから姫路市にも入りました。アララ自身も10月30日の続報で、共用環境のほかに流出はないと知らせていました。キンコーズは10月29日の公表を受けてアララに問い合わせ、利用する環境は対象に含まれないとの回答をもらっていました。11月2日、そのどれもが覆ります。

プレステージ・コアソリューションの件は、形が逆でした。委託元の4件が出たのは、親会社のプレステージ・インターナショナルと同じ11月2日です。ソニー損保が報告を受けたのは10月30日11時ごろで、発表まで3日。そのソニー損保とアクサ損保は、自社の顧客の情報が持ち出されたかをまだ確認できないまま発表しました。

CBcloudは11月2日の第1報で、委託元の名前も件数も出していません。7NOWと出前館の発表は、翌日の文化の日でした。

日数は暦日の差を編集部で数えたもので、同じ日は0日です。日付の分かる11件のうち7件は、連絡の当日か翌日に発表しました。9月〜10月に公表された委託先経由の情報漏えい6件では、両方の日付が分かる委託元6社が、知ってから公表まで2〜9日かけていました。今週5日かかったTKCと姫路市も、自社分の漏えいを知らされた11月2日のうちには発表済みです。

では、日数を分けたのは何だったのでしょうか。発表の日を左右したのは、委託元の判断の速さより、委託先の答えが変わるまでの時間だったと編集部はみています。「漏えいはない」はその時点の調査の答えで、委託元の側に確かめる手段はほとんどありません。だから、委託元が前もって決めておけるのは、答えが「影響なし」のあいだに何をするかです。

ソニー損保やアクサ損保のように、確認中のまま委託先と同じ日に出すのか。アララの委託元の多くのように、自社分の確認を待つのか。どちらが正しいという話ではないでしょう。ただ、決めていなければ、その日の空気で決まってしまいます。

基盤の会社が名乗らない形もあります。10月31日の社債の特典の件では、プラットフォームを提供したNTTデータの委託先は社名が公表されず、NTTデータと発行体、販売会社の発表だけが出ました。基盤の会社の公表を待つという選択肢が、初めからないこともあるわけです。

メールの事故では、メールで知らせられない

顧客への個別の連絡にふれたのは、読めた範囲で6件。そのうち手段まで書いたのは7NOWのSMS、出前館のメール、Zaifの3件です。

そのZaifの書き方に、メール配信の事故ならではの事情がにじみます。アララが止まったため、Zaifはお知らせメールそのものを送れません。

本件に関するお客さまへのご連絡は、まずは当社ホームページ（お知らせ欄）への本お知らせの掲載をもって行わせていただきます。メール配信の再開後、対象のお客さまには改めて個別にご連絡いたします。

漏れたことを伝えたい手段が、漏れた先そのものだったのです。

ほかの委託元も、それぞれ別の道を使いました。姫路市はホームページと公式LINEで注意を呼びかけ、TKCは11月4日の第3報で、別のメール基盤から送れるよう対処中です。横浜市では、メールによる二要素認証ができず、ログインまで止まりました（横浜市の電子申請の件）。関西の利用者から見た止まり方は、西のITメディアの記事で読めます。

しかも10月28日から30日には、アララのサービスからカード会社を装うメールが最大約713万通送られていました。お詫びのメールを送れる状態だったとしても、偽のメールと同じころに届けば、受け取った人には見分けにくいはずです。

委託先とつなぐ線を止めた会社、続けた会社

出前館は11月2日に連絡を受け、14時過ぎにCBcloudとの連携を止めました。不具合の修正が終わったことと、自社側の通信状況を確認したうえで、21時ごろに戻しました。ビックカメラなど3社はアララへのデータ連携を止めました。キンコーズとサンクゼールは、配信そのものを停止。逆にENEOSは、委託先が安全性を確認したうえで委託業務を続けているとし、7NOWも通常どおり稼働中です。出前館の止め方と戻し方は、ピックゴーの件の記事で詳しくご覧いただけます。

もう1つ、2社だけが書いた一文があります。7NOWと出前館は、CBcloudの調査では「当社の認証情報や連携設定の流出・書き換えは確認されていません」としました。自社のシステムへの影響にふれた委託元は、読めた範囲で8件。ほかの6件は「自社のシステムへの不正アクセスは確認されていない」といった書き方で、委託先とつなぐ認証情報や連携設定までふれたのは、この2社だけです。

経営層から最初に聞かれるのは「うちのシステムは大丈夫か」でしょう。でも、APIでつないでいる委託先なら、その答えは自社のサーバーだけでは決まりません。委託先に置いたキーと設定がどうだったかを、委託先の調査から聞き出す必要があります。

3社と取引がなくても関係する会社

アララ メッセージ、プレステージ・コアソリューション、ピックゴーのどれかに業務を預けている会社には、今週の15件と同じ判断がもう回ってきています。アララは個人情報保護委員会への連名報告を案内していて、申し込みは11月9日18時までです。

3社と取引がなくても、顧客の個人データをメール配信、受付、配送などの外部の基盤に預けている会社には、次の確認表がそのまま当てはまります。顧客の個人データを外に預けていないなら、委託元としての作業はありません。社員あてに届く偽の連絡への備えだけが残ります。

委託元になる前に作る確認表

事故の日に委託元が決めることは、今週の発表から7つ挙げられます。契約の更新や、委託先の点検の席でそのまま使えます。

1行目と5行目は、事故が起きてからでは用意が間に合いません。発表の合図は経営層と、2つ目の連絡手段は顧客の窓口の部署と、平時に決めておくものです。

委託先から「漏えいはない」と言われた日に、社内のだれに、何と伝えるか。そこまで決めてある会社なら、答えが覆った日の発表も、慌てずに当日のうちに出せるはずです。