株式会社グッドスマイルカンパニーは10月23日夜、同社が運営する通販サイト「グッドスマイルカンパニー公式ショップ」が第三者の不正アクセスを受け、会員の個人情報などが閲覧されたと公表した。住所や電話番号に加えて、注文の中身とクレジットカード番号の下4桁、有効期限まで項目に並んでおり、会員は「何が見られ、何が見られていないか」を分けたうえで手を打つことになる。
対象になりうる会員には、確認が済み次第、順次個別のメールで知らせるという。公表の時点で、対象の範囲や件数は示されていない。
10月19日から4日間、ショップの管理情報が閲覧された
同社のお知らせによると、システムのログを調べた結果、10月19日15時過ぎから22日22時ごろにかけて、ショップの管理情報が複数回にわたって不正に閲覧されていた。原因は現時点で脆弱性を突かれたものとみており、判明した脆弱性は改修したうえで調査を続けている。
同社は判明後すぐにショップを閉じ、再開の見込みはまだ案内できないとしている。10月23日には個人情報保護委員会へ報告した。詳細はなお確認中で、今後の公表で項目や範囲が変わる余地は残っている。
見られた項目と、含まれないと明記された項目
閲覧された可能性があるとして挙げられたのは、次の3種類だ。
- 基本情報: 氏名、読み仮名、性別、住所、電話番号、メールアドレス
- 注文情報: 注文日、商品名、数量、金額、別に登録したお届け先の住所・氏名・電話番号、決済方法、決済が済んだかどうか
- クレジットカード情報: カードのブランド、カード番号の下4桁、有効期限
カードの名義、下4桁以外の番号、セキュリティコードは含まれないと明記されている。公表された項目の一覧に、ログイン用のパスワードは挙がっていない。
カード番号の全桁もセキュリティコードも無い以上、この情報だけでネット通販の決済に使うのは難しい。それでも組み合わせとしては重い。名前と住所と電話番号に、いつ何をいくらで買ったか、どのブランドのカードの下4桁が何番かまで揃えば、本人しか知らないはずの話を織り込んだ連絡が作れる。「10月○日にご注文の商品について、下4桁○○○○のカードで決済エラーが出ています」と言われて、偽物だと即座に見抜ける人は多くない。
同社も、会社や公的機関、金融機関を名乗るメール・電話・SMSによる詐欺やなりすましの可能性を挙げ、心当たりのない連絡には応じず、リンクを押さないよう呼びかけている。
会員が確かめたい3点
1つ目は、届くメールの確かめ方を先に決めておくことだ。同社は対象者へ個別のメールを送ると予告している。本物のメールが来ると分かっている時期は、それに似せた偽物がいちばん紛れ込みやすい。メールの中のリンクから入らず、自分でブックマークしたグッドスマイルカンパニーのサポートサイトからお知らせを開き直す、という手順にしておけば、本物と偽物の見分けに頭を使わずに済む。問い合わせフォームは、閉鎖中のショップとは別のシステムで動いているという。
2つ目は、カードの扱いだ。選択肢は、明細を見張り続けるか、カード会社に再発行を頼むかの2つになる。再発行すれば番号ごと替わるが、新しいカードが届くまでの間は使えず、公共料金やサブスクリプションに登録した番号の付け替えも自分でやることになる。全桁が見られていないという公表を前提にするなら、明細の見張りで足りると考える人もいるだろう。どちらが軽いかは、そのカードに何をぶら下げているかで変わる。
3つ目は、お届け先として登録した家族や知人のことだ。贈り物の送り先として別の住所を登録していた場合、その人の氏名・住所・電話番号も項目に入っている。本人はショップの会員ではないので、同社からの個別メールは届かない可能性がある。不審な電話や荷物の連絡に気をつけるよう、ひと声かけておく意味はある。
パスワードは項目に挙がっていないが、調査はまだ続いている。同じパスワードを他のサービスでも使い回しているなら、続報を待たずに替えておくのも一つの手だ。
次に確かめたいのは、グッドスマイルカンパニーのサポートサイトに出る続報と個別メールで、対象の範囲と件数がいつ示されるかだ。ショップ再開の案内も同じ場所に載るはずだ。
ことば
- 個人情報保護委員会 — 個人情報保護法を所管する国の機関。一定の条件にあたる漏えいが起きた企業は、この委員会への報告と本人への通知が義務になっている。
- なりすまし連絡 — 実在の企業や公的機関を名乗るメール・SMS・電話で、偽のサイトへ誘導してIDやカード番号を入力させる手口。漏えいした実際の注文情報を織り込むと、見分けがいっそう難しくなる。
- セキュリティコード — カードの裏面などに印字された3〜4桁の数字。ネットでの決済で、カードを手元に持っている本人かどうかを確かめるのに使う。今回の閲覧項目には含まれていない。
本物のメールが届いたとき、あなたはそれをどこで本物だと確かめるだろうか？
