アイリスオーヤマの公式通販サイト「アイリスプラザ」を運営するアイリスプラザは11月5日、外部のクラウドサービスへの不正アクセスにより、保存していた約770万人分の個人情報が外部へ漏えいした可能性があると公表した。対象には現役の会員だけでなく、退会した会員や、会員登録をせずに一度だけ買った人、キャンペーンに応募した人も含まれる。
何が保存されていて、今日のうちに何ができるのか。公表文の範囲で整理する。
10月28日の「不審なファイル」から第2報まで
経緯はこうだ。同社は10月28日、利用している外部クラウドサービスで不審なファイルを見つけ、アイリスプラザと関連システムを止めて調査を始めた。第三者による不正アクセスを確認して10月29日に第1報としてサイトの停止を知らせ、同日に警察と個人情報保護委員会へ報告している。11月5日の第2報で、クラウドに保管していたデータが外部へ漏えいした可能性が加わった。
公表文によると、漏えいの可能性がある情報は次のとおりだ。
- 会員データ (退会済みの会員を含む・約580万人): 氏名、住所、電話番号、メールアドレス、性別、パスワード、生年月日など。退会者はパスワードを除く
- 非会員データ (会員登録なしで購入した人、キャンペーンに応募した人など・約190万人): 氏名、住所、電話番号、メールアドレス
数字の読み方には注意が要る。約770万人分は「保存されていた個人情報の総データ数」で、同社はこれらが閲覧または取得された可能性を確認した段階にある。実際に漏えいした件数と影響を受けた人数は調査中だ。また、全員について上の項目がすべて流出したわけではなく、登録状況によって対象項目は異なるという。パスワードを含む一部の項目は暗号化していたとしているが、暗号化の方式までは書かれていない。
一方で、クレジットカードの情報はこのクラウドサービスに保存されておらず、影響を受けていないと同社は確認している。外部のECモールに出している同社の店舗でも、現時点で不正アクセスと漏えいは確認されていない。本件による不正利用や金銭被害の報告も、11月5日時点では無いとしている。
会員でなくても対象になりうる
この件で見落としやすいのは、非会員の約190万人だ。アカウントを作らずに一度だけ注文した人や、キャンペーンに応募しただけの人も、氏名・住所・電話番号・メールアドレスが保存されていた。退会した会員の情報も残っていた。「もう使っていないサービスだから」という理由で、自分を対象から外さないほうがいい。
同社は、漏えいの可能性がある人へ順次、個別にメールなどで連絡するとしている。止まっているのはアイリスプラザだけではない。ホームファッション専門店「SIMPLE STYLE」のサイトと、グループ会社アイリステックサービスの家電サブスクリプションや家具家電の配送設置サービスも、10月28日からサイトを止めて新規の申し込みを受け付けていない (この2つでは不正アクセスと漏えいは確認されていない)。
今日できることと、手間がかかること
会員だった人が最初にできるのは、パスワードの確認だ。同社は、アイリスプラザと同じパスワードを他のサービスで使っている場合は変更するよう求めている。手間は、どこで同じものを使っていたかを思い出すことにある。メール、別の通販、ポイントサービスと、使い回し先が多いほど作業は増える。
次に、連絡の受け取り方を決めておく。同社は案内の際に、パスワード、暗証番号、認証コードなどを聞くことはなく、メールやSMSのリンク先でそれらの入力を求めることもないと明言している。裏返せば、アイリスプラザを名乗ってそれらを求める連絡は、同社からのものではない。同社を装った偽サイトや偽のSNSアカウントが作られる可能性にも注意を呼びかけている。
ただし、パスワードは変えられても、氏名・住所・電話番号は簡単には取り替えられない。漏れた可能性のある情報のうち、本人が手を打てるのは一部だけだ。宛名入りの不審なメールや、買い物の話を持ち出す電話がしばらく続くかもしれないことを、前提に置いておくしかない。
確かめたいことがある人の窓口は、アイリスプラザ コンタクトセンター (0120-108-824・平日と土曜の9時30分から17時) と、同社が用意したFAQだ。実際の漏えい件数と影響人数は、同社ニュースリリースの次の報で示される見込みで、サイトの再開時期もそこで知らせるとしている。LifeMakers の漏えいチェックにもこの件を載せた。
ことば
- パスワードリスト攻撃 — あるサービスから漏れたIDとパスワードの組み合わせを、別のサービスのログインに次々と試す手口。使い回しが多いほど被害が広がるため、漏えいの知らせではまず同じパスワードの変更が求められる。
- スミッシング — SMSを使ったフィッシング。宅配や通販の連絡を装い、リンク先の偽サイトでIDやカード番号を入力させる。実在の企業の漏えいが報じられた直後は、その企業を名乗る文面が出回りやすい。
取り替えの効かない名前と住所が出回るかもしれないとき、あなたはどの連絡を「まず疑う」側に回しておくだろうか？
