エイチ・ツー・オー リテイリングと子会社の阪急阪神百貨店は10月19日、「阪急百貨店・阪神百貨店予約サイト」を経由した不正アクセスで、グループ共通の会員 ID「H2O ID」約126万件の個人情報の一部が漏えいしたと発表した。同社は「ほぼ全ての」H2O ID 会員が対象だとしており、H2O ID を持っているなら自分も含まれると考えて動くのが早い。
漏えいは「可能性」ではなく、判明した事実として公表されている。一方で、ログインパスワードやカード番号の全桁は漏れていないとされ、会員がすぐに取り組むべきなのは、パスワードの変更よりも偽の連絡への備えになる。
漏れたもの、まだ調査中のもの
同社によると、10月16日に予約サイトを経由した顧客管理システムへの不正アクセスを確認し、同サイトのシステム全体を止めた。17日には通販サイト「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスが見つかり、両サイトも停止した。19日の調査で、約126万件の漏えいが判明した。
予約サイト経由で漏えいしたのは次の項目だ。
- H2O ID、氏名 (漢字・カナ)、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日
- H2O ID で使っているサービスの項目
E-STORES と Remo Order 経由の漏えいの有無は、まだ調査中だ。両サービスが持っている情報として、同社は次を挙げている。
- 商品の注文履歴
- クレジットカード情報の一部 (カード種別、カード番号の下4桁、名義、有効期限)
- ポイントカード情報の一部 (種別、カード番号の下4桁)
- アドレス帳の情報
同社は決済情報を持たない方式をとっており、カード番号の全桁とセキュリティコードは保持していないため、不正に使われるおそれはないとしている。ポイントカードも下4桁だけなので、ポイントを使われるおそれはないという。ログインパスワードの漏えいも確認されておらず、現時点で不正利用や二次被害は確認されていない。
パスワードが無事でも残るもの
今回漏れた項目には、どの店のどのサービスを使っているかが含まれている。名前と住所に加えて利用サービスまで分かれば、「ご予約の件で」「ご注文の商品について」と、受け取った人に心当たりのある用件を装った連絡が作れてしまう。
調査中の側にも気になる項目がある。アドレス帳に贈り物の届け先を登録していた場合、そこに入っているのは会員ではない家族や知人の名前と住所だ。漏えいが確認されたわけではないが、結果が出るまでは、贈り先にも心当たりのない連絡が届きうると見ておくほうがよい。
本物の案内を見分ける手がかり
同社は会員へ電子メールで順次連絡しており、送信元は noreply@h2o-retailing.co.jp だとしている。それ以外の送信元には注意するよう呼びかけ、登録したメールアドレスや電話番号へ同社を装った不審なメール・SMS・電話が来る可能性があるとしている。
ただし、メールの送信元の表示は見かけ上は偽れる。送信元が正しく見えても、本文のリンクから個人情報を入れる流れになっていたら手を止め、同社のホームページから自分でたどるほうが確実だ。電話なら、いったん切って次の窓口にかけ直す。
- フリーダイヤル: 0120-110-256 または 0120-369-089 (毎日10時〜20時)
- 問い合わせフォーム: H2O ID のサイト内の専用フォーム
手間もある。予約サイトと2つの通販サイトは止まったままで、同社は原因の究明と脆弱性の修正を終え、安全を確かめてから再開するとしている。再開の時期は示されていない。予約や注文の中身をサイトで確かめたい人は、それまで窓口を使うことになる。家族に H2O ID を持つ人がいるなら、同じ注意を伝えておきたい。
次に確かめる先は、エイチ・ツー・オー リテイリングのニュースリリースだ。E-STORES と Remo Order の調査結果、つまり注文履歴やアドレス帳まで漏れていたかどうかと、サービス再開の知らせは、同社のホームページに載る。
ことば
- H2O ID — 阪急百貨店・阪神百貨店などを持つエイチ・ツー・オー リテイリンググループの共通の会員 ID。複数のサービスを同じ ID で使えるため、今回はどのサービスを使っているかという情報まで一緒に漏えいした。
- 決済情報の非保持化 — カード番号の全桁やセキュリティコードを自社のシステムに置かず、外部の決済の仕組みに預ける方式。店が攻撃を受けてもカード番号そのものは漏れにくく、今回カード番号の全桁が対象にならなかった理由でもある。
名前も住所も、どの店で何を使っているかも知っている相手から連絡が来たとき、あなたは何を手がかりに本物かどうかを決めるだろうか？
