千葉に本店を置く酒屋のいまでやは10月15日、8月に公表した顧客情報の外部流出について第2報を出した。注文の履歴を管理するために自社で作った Shopify の連携アプリの認証情報が盗まれ、悪用されていたという。
いまでや プレスリリース 第2報 10月15日 (PR TIMES・経路の確定・カード情報の漏えいなし・12月上旬の再開予定・問い合わせ先)プレスリリース・ニュースリリース配信シェアNo.1｜PR TIMES
クレジットカード情報が漏れていないことも、第1報の推定から確認できた事実に変わった。止めている IMADEYA ONLINE STORE と新規の会員登録は、12月上旬に再開する予定だ。
8月20日の不審なメールから
第1報によると、始まりは8月20日の夜だった。いまでやを名乗る不審なメールを受け取ったという問い合わせが、客から30件ほど寄せられた。メールには、受け取った本人の氏名、注文番号、注文金額が正確に書かれていた。でたらめに送られたものではないと見て、同社はその日のうちに調査を始めた。
流出した可能性が高いとされた情報は、名前、メールアドレス、注文番号、注文金額の四つ。対象には、オンラインストアで買った客に加え、千葉本店や GINZA SIX、錦糸町 PARCO などの実店舗で、会員情報を示して買った客も含まれる。第1報の時点で、偽サイトにクレジットカード情報などを入れてしまった客が2人確認されていた。
第2報で分かったこと
第2報が示した経路はこうだ。同社が注文履歴の管理のために自前で作った、Shopify とつなぐアプリがあった。そのアプリが Shopify の情報にアクセスするための認証情報 (Admin API のアクセストークン) を第三者が手に入れ、海外の IP アドレスから API を通じて、Shopify 上の注文情報と顧客情報を取り出していた。
この経路はすでに遮断したという。再開に向けては、使われたアプリだけでなく、ほかの連携アプリにも同じ漏えいや不正利用のおそれがないかを確かめている。
クレジットカード情報の漏えいがないことも確認した。第1報では、偽サイトがカード情報の入力を求めていたことから、取られていない可能性があるという推定にとどまっていた。
一方で、第2報には、流出した客の人数も、第1報の四つの項目から変わったかどうかも書かれていない。現時点で確認できていない事項は、分かった内容に応じてあらためて報告するとしている。
正確な注文情報を使うメールへの構え
この事案で厄介なのは、偽のメールが本物の注文情報を使っていたことだ。自分の名前と、実際に頼んだ注文の番号と金額が並んでいれば、疑う理由はほとんど見つからない。第1報によると、偽メールは「配送ラベル発行のため、お届け先の確認が必要」といった文面で、カード情報の入力を求めていた。
同社は、メールでクレジットカード情報の入力を頼むことはないとし、公式のドメインは imadeya.co.jp だとしている。それ以外のドメインから届いたメールは、同社が出したものではない。すでに不審なサイトでカード情報を入れてしまった人は、カード会社に連絡するよう求めている。
客の側からは、店がどんな連携アプリを使い、その鍵をどう管理しているかは見えない。できるのは、届いたメールの差出人のドメインを見ること、そして注文の中身が正しくても、カード情報を求めてきた時点で手を止めることくらいだ。今回の偽メールも、カード情報の入力を求めたところで正体が出ていた。
確認できる次の点
次に見るのは、いまでやがウェブサイトと公式 SNS で出す再開の案内だ。12月上旬という予定の具体的な日と、再開後に使えるサービスの範囲は、確定しだい知らせるとしている。予定を変える場合は、その理由と見通しも示すという。問い合わせはカスタマーサポート (0570-015-111、平日9時から17時、info@imadeya.co.jp) が受けている。
ことば
- Shopify — ネットショップを開くための仕組みを提供する海外のサービス。商品や注文、顧客の情報をここで管理し、店は別のアプリをつないで機能を足していく。
- アクセストークン — アプリがほかのサービスのデータを読み書きするときに使う、合鍵のような認証情報。パスワードを入れなくても使えるため、盗まれると持ち主になりすまして中身を取り出せる。
名前も注文番号も金額も合っているメールが届いたとき、あなたは何を見て本物かどうかを決めるだろうか？
