家電量販店ジョーシンを運営する Joshin (大阪市) は10月26日、不正アクセスの第2報を出し、個人情報が漏えいした可能性のある件数を3つのシステムで合わせて最大約623万件と明らかにした。中心は会員情報データベースの最大約600万件で、氏名・住所・電話番号・会員番号が含まれる。
10月17日の初報では「調査中」だった中身が、ここで初めて数字になった。店頭やネットでジョーシンの会員になった人は、住所と電話番号の組み合わせが外に出た前提で、届く連絡を見直す段階に入っている。
3つのシステムと、それぞれ漏れたもの
Joshin が挙げたのは次の3つだ。
- 会員情報データベースサーバー: 最大約600万件。氏名、住所、電話番号、会員番号
- ジョーシンのサブスク: 最大約23万件。会員番号、電話番号と手書きサイン、ログイン ID と初期パスワード、請求履歴、契約番号とデバイス ID、有効化コード
- リフォーム写真アップロードシステム: 最大約800件。運転免許証の画像2件、マイナンバーカード1件、口座番号5件と、施工中の工事写真
件数は漏えいの可能性がある総数で、漏えいが確定した数ではないと同社は断っている。クレジットカード情報は、決済情報を自社で持たない仕組みにしているため保持していないという。免許証・マイナンバーカード・口座番号に当たる人には個別に連絡しているとしている。
手を動かすなら、サブスクの初期パスワード
600万件という数字が目を引くが、すぐに手を動かす必要があるのは2つ目のサブスクの利用者かもしれない。漏えいの可能性がある項目に「ログイン ID 初期パスワード」が入っているからだ。最初に渡されたパスワードのまま使っている場合や、同じ文字列を別のサービスでも使っている場合は、変えておくのが現実的だろう。第2報そのものはパスワードの変更を求めていないので、変えるかどうかは利用者の判断になる。
一方、会員情報データベースの約600万件にはパスワードもカード情報も含まれない。こちらで起きうるのは、不正ログインよりも、名前と住所を知ったうえでの「なりすまし」の連絡だ。
10月16日の検知から、止まったままのサービス
Joshin は10月16日にネットワークの異常を検知し、不正アクセスの形跡があるサーバーをネットワークから切り離した。その措置のため、一部のサービスは今も使えない状態が続いている。個人情報保護委員会と警察へは、発生の確認後すぐに相談・報告したという。
住所を知っている相手からの連絡に、どう備えるか
Joshin は、同社を装った不審なメール・SMS・電話が来る可能性があるとして注意を求めている。氏名と住所と電話番号がそろうと、偽の連絡は格段に本物らしく見える。修理の受付、保証の延長、ポイントの失効のように家電量販店から来てもおかしくない用件ほど、届いたメールのリンクからではなく、手元の会員証や公式アプリから確かめ直すほうが安全だ。
本件の問い合わせは、Joshin お客様相談窓口の電話 (06-6631-1323、受付9時30分〜18時30分) とメール (joshin_otoiawase@joshin.co.jp) で受け付けている。
次に確かめたいのは、Joshin の公式サイトの IR ニュースに載る次の報告だ。同社は新しい事実が分かれば公式サイトなどで知らせるとしており、漏えいが確定した件数と、止まっているサービスの再開時期がそこで示されるかどうかを見ておきたい。
ことば
- 決済情報の非保持化 — 店がカード番号を自社のシステムに保存せず、決済代行会社に預ける仕組み。今回 Joshin がカード情報は漏えいの対象外だと言える根拠になっている。
- 初期パスワード — サービスに登録したときに事業者から渡される最初のパスワード。利用者が自分で変えない限りそのまま使われ続けるため、漏れると不正ログインにつながりやすい。
ジョーシンを名乗る電話やメールが来たとき、あなたはどこで本物かを確かめるだろうか？
