西日本で「ゆめタウン」などを展開するイズミは10月14日、ネット通販などのメールマガジンの配信に使っていた環境で、最大約40万件の会員の氏名とメールアドレスが漏えいした可能性があると発表した。対象は「ゆめオンライン」と「ゆめデリバリー」の2つのサービスだ。
原因は、イズミが配信を頼んでいた会社が使うクラウドサービス、IDC フロンティアへの攻撃だという。住所や電話番号、カード番号は含まれず、漏れた可能性がある情報は暗号化されていたとしている。利用者が確かめたいことと、これから届くメールへの向き合い方を整理する。
何が起きたのか
イズミの発表によると、同社が会員向けのメールマガジンの配信を委託している会社が使うクラウドサービスの提供元、IDC フロンティアから、システムの一部でランサムウェアによる攻撃があったと連絡を受けた。確認すると、その環境には、ゆめオンラインとゆめデリバリーのメールマガジン配信に使う氏名とメールアドレスが保管されていた。
発表の時点で、情報が外に漏れた事実も、悪用された事実も確認されていない。ただし漏えいの可能性を完全には否定できないため、関係する会社と影響の範囲を調べ続けているという。
対象になる情報と、ならない情報
イズミが示した内容は次のとおり。
- 対象のサービス: ゆめオンライン、ゆめデリバリー
- 件数: 最大約40万件
- 情報: 氏名、メールアドレス (暗号化されていた)
- 対象外: 住所、電話番号、クレジットカード番号など
店舗で使うポイントカードや、ほかのサービスの会員情報には触れていない。漏えいの可能性がある人には、準備ができしだい、個別にお詫びのメールを順に送るとしている。
クラウドの側では何が分かっているか
IDC フロンティアは10月14日に出した第5報で、10月7日未明から続く障害は、同社のクラウドへの第三者の不正アクセスによるものだと説明している。影響を受けたのは東日本リージョン1の一部のゾーンで、障害の影響は495の企業・自治体に及んだ。
外部のセキュリティ会社と調べた結果、影響を受けたゾーンの仮想サーバーの中のデータについて、照会されたり外へ持ち出されたりした痕跡は見つからなかったという。イズミの「現時点で漏えいは確認されていない」という説明と、向きはそろっている。ただし、どちらも調査は続いている途中の数字だ。
これから届くメールに
漏れた可能性があるのは名前とメールアドレスの組み合わせだ。名前入りで届くメールは本物らしく見えやすい。しかも、これからイズミから本物のお詫びメールが届く。
イズミの発表は、お詫びメールの書式や、リンクを載せるかどうかには触れていない。届いたメールが本物か迷ったときは、メールの中のリンクを開かず、ゆめオンラインやゆめデリバリーのアプリ、イズミの公式サイトから自分で確かめに行くのが確実だ。ポイントや当選、配達の不具合をうたって入力を急がせるメールは、名前が正しくても疑ってよい。
確認できる次の点
次に見るのは、イズミの公式サイトの「重要なお知らせ」と、IDC フロンティアの障害に関するお知らせの続報 (第6報以降) だ。漏えいの事実が確認されたかどうか、対象の件数が絞り込まれたかがそこに出る。
ことば
- ランサムウェア — 他人のコンピューターに入り込み、データを暗号化して使えなくしたうえで、元に戻すことや公開しないことと引き換えにお金を求める攻撃。
- 委託先 — 企業が業務の一部を任せている外部の会社。今回のように、委託先がさらに使っているクラウドが攻撃されると、利用者からは見えない経路で情報が危険にさらされる。
あなたのメールアドレスと名前を預けているネットスーパーや通販は、いまいくつあるだろうか？
