大日本印刷 (DNP) は10月21日、運営する書店サービス「honto」の利用者情報が漏えいした可能性があると公表した。メール配信を委託していたユミルリンクのシステムに第三者が不正アクセスしたためで、対象は honto のメールマガジンの配信を許諾している利用者の氏名、メールアドレス、システム内部の識別番号だ。
パスワードやクレジットカード情報、購入履歴は、このメール配信システムには置かれていなかった。いま気にすべきなのは、本名とアドレスがそろった状態で届く「それらしいメール」のほうになる。
委託先で起きたこと
経緯は、委託先からの報告で始まった。DNP によると、10月19日にユミルリンクから、同社が運用管理するメール配信システムへの不正アクセスにより、サーバーに保存されていた honto の利用者情報が外部に漏えいした可能性があると報告を受けた。DNP グループ自身のシステムへの不正アクセスは確認されていない。DNP は被害の拡大を防ぐため、honto のシステムとこのメール配信システムの連携を遮断している。
ユミルリンクは東証グロース上場のメール配信事業者で、19日に第一報を開示している。それによると、10月16日の未明に担当者が不正アクセスに気づいた。プログラムの脆弱性を突かれてサポート・品質管理担当者の認証情報を取られ、不正なプログラムでデータベースからデータが書き出されていた。不正アクセスとデータの書き出しが確認されたのは合計5つのシステムで、メールアドレスを含む情報が延べ約900万件出力されたと試算している。
この延べ約900万件は、5つのシステム全体の試算だ。honto の利用者がそのうち何件にあたるかは示されておらず、DNP も対象件数は調査中としている。
自分が対象かどうか
対象になりうるのは、honto のメールマガジンを受け取る設定にしている人だ。honto を使っていても、メルマガの配信を許諾していなければ、今回の公表の範囲には入らない。
確実に知る手段は、いまのところ DNP からの連絡になる。DNP は、ユミルリンクと影響範囲の特定を進め、対象と分かった利用者には個別に連絡するとしている。メルマガを受け取っていたか覚えていない場合や、気になることがある場合の窓口は honto お客様センター (フリーダイヤル 0120-29-1815、IP 電話からは 03-6386-1622、土日祝日などを除く午前10時から午後6時) とメールフォームだ。
公表の時点で、不正利用などの二次被害は確認されていない。
名前入りの不審メールへの備え
DNP が利用者に求めているのは一つで、honto や関係者を装った不審なメールへの注意だ。そうしたメールが届いたら、記載された URL を開かない、添付ファイルを開かない、個人情報やパスワードを入力しない。
漏れた可能性があるのが氏名とメールアドレスの組み合わせだという点が、ここで効いてくる。宛名に自分の本名が正しく入ったメールは、それだけで本物らしく見える。名前が合っていることを、送り主が本物である理由にしないことが、今回いちばん効く備えになる。
一方で、今回の公表はパスワードの変更を求めていない。パスワードはメール配信システムに保存されていなかったためだ。ただ、honto から本当に連絡が来たかを確かめたいときは、メールのリンクからではなく、ブックマークや検索から自分で honto のサイトを開いて確かめる習慣が役に立つ。
次の確認先は、honto のお知らせ欄と、ユミルリンクの続報だ。対象件数と、honto の利用者情報が5つのシステムのどれに含まれていたかは、どちらも調査中で、判明しだい知らせるとしている。
ことば
- メール配信の委託 — 会員向けのメルマガなどを、専門の事業者のシステムを使って送る仕組み。送り先の名前やアドレスは委託先のサーバーにも置かれるため、そこが破られると本体のサービスが無事でも情報が漏れうる。
- 延べ件数 — 同じ人やアドレスが複数回数えられている可能性を含んだ件数。延べ約900万件は、約900万人分という意味とは限らない。
- 識別番号 — サービスの内部で利用者を区別するための番号。単体では外から意味を持ちにくいが、氏名やアドレスと組み合わさると、同じ人の情報を突き合わせる手がかりになりうる。
あなたの受信箱に、本名入りで「honto」を名乗るメールが届いたら、何を見て本物かどうかを決めるだろうか？
