宅配すしの「銀のさら」を運営するライドオンエクスプレスホールディングスは10月13日、子会社のサーバーへの不正アクセスで、公式サイトと公式アプリの登録者情報が最大約650万件漏れた可能性があると公表した。対象は「銀のさら」「釜寅」「すし上等」の3ブランドの登録者で、氏名、住所、電話番号、メールアドレス、生年月日、注文履歴などが含まれうる。
約650万件は、漏れたことが確定した数ではない。同社は漏えいの明確な痕跡も範囲もまだ特定できていないとしたうえで、対象になりうる人に知らせることを先に決めた。気をつけたいのは、登録した本人だけでなく、家族や、届け先に名前を入れた相手の情報まで含まれうることだ。
10月5日の不正アクセスと、7日からの障害
同社の発表によると、子会社のライドオンエクスプレスは10月5日以降、利用しているサーバーへの第三者による不正アクセスを検知した。10月7日の早朝からはシステム障害も起きている。10月8日にまず障害を第1報として公表し、調査を続けた結果、13日の第2報で漏えいの可能性を公表した。
障害は続いている。3ブランドの公式サイトと公式アプリからの注文は止まったままで、電話、店頭でのテイクアウト、出前館、Uber Eats からは注文できる。通常どおりに戻るまでには、もうしばらくかかる見込みだという。
漏れたかもしれないもの、含まれないもの
発表が挙げる項目は次のとおりだ。
- 漏えいの可能性がある: 氏名、住所、電話番号、メールアドレス、性別、生年月日、パスワードのハッシュ値、注文履歴、デリポイント会員 ID
- 入力していれば含まれうる: 家族の氏名と誕生日、届け先の氏名・住所・電話番号
- 対象外: 電話だけで注文した人、クレジットカード情報 (同社は保有していない)
注文履歴が入っている点は、ほかの会員情報の漏えいと少し違う。いつ、どこへ、何を頼んだかが分かると、偽の連絡は「先日のご注文について」と具体的に書けてしまう。家族の誕生日も同じで、誕生日の特典を装った連絡に使われうる。
自分で登録していなくても、名前が入っていることがある
届け先と家族の情報は、登録した人が入力したものだ。実家の親に寿司を届けた、取引先へ宅配を手配した、家族の誕生日を登録して特典を受けていた。そういう使い方をしていれば、アプリを一度も入れたことのない人の名前や住所も、登録者情報の中に入っている。
その人たちは、自分が対象になりうることを知る手段を持たない。同社は対象者に順次お詫びと案内を送るとしているが、送る先は登録者だ。届け先に入れた相手に伝えるかどうかは、登録した側が決めることになる。
登録者本人については、パスワードがハッシュ値 (そのままでは読み取れない形に変えた値) で保存されていたと同社は説明している。第2報は、パスワードの変更を求めてはいない。ただ、同じパスワードをほかのサービスでも使っているなら、そちらを先に変えておく選択肢はある。どこで使い回したかを思い出す手間は、自分で引き受けるしかない。
次に確かめる点
確認先は、ライドオンエクスプレスホールディングスの適時開示だ。第2報は件数を「最大」とし、漏えいの事実と範囲は特定できていないとしている。調査が進めば、確定した件数と一人ひとりの漏れた項目が、次の報で示されるはずだ。個別の案内がメールで届くのか、どの差出人から届くのか、問い合わせの窓口がどこになるのかは、第2報には書かれていない。公式サイトとアプリの注文がいつ再開するかも、同じ開示で追える。
ことば
- デリポイント会員 ID — 第2報が漏えいの可能性がある項目に挙げた、ポイント会員の番号。番号まで知られていると、ポイントの失効や付与を装った連絡がそれらしく見えるため、注意が要る。
- 適時開示 — 上場企業が、投資判断に影響する出来事を証券取引所を通じて速やかに公表する仕組み。今回の第1報・第2報もこの形で出ており、続報も同じ場所に載る。
これまで銀のさらの注文画面に、自分以外の誰の名前と住所を入れてきただろう？
