JR東海は10月13日、自社の通販サイト「JR東海MARKET」と「いいもの探訪」で、利用者の個人情報約1万5000件が漏れた恐れがあると発表した。両サイトのメール配信に使っていた IDC フロンティアのクラウドが、10月7日に攻撃を受けた影響だ。
漏れた恐れがあるのは、メールアドレスだけではない。注文の確認などのメール本文に書かれていた氏名や住所、注文内容も含まれる。届いたことのある本物のメールの中身を、そのまま知っている相手からの連絡にどう構えるかが問われる。
メールの本文ごと、外から見られた恐れ
JR東海の発表によると、漏れた恐れがある情報は次のとおりだ。
- 配信先のメールアドレス
- メール本文に書かれていた情報: 氏名、住所、電話番号、注文内容、配送先、アンケートの回答やコメント
クレジットカードの情報とログインのパスワードは、漏れた恐れはないとしている。約1万5000件という数は、IDC フロンティアが不正アクセスを公表した10月7日時点のデータから推計したもので、実際に漏れた人数が確定したわけではない。10月13日の時点で、外部への漏えいを示す事実や二次被害は確認されていないという。
両サイトでは攻撃の直後、ログインや購入のときに届くはずのメールが送れなくなり、一部の利用者は買い物ができなくなった。その後の調査で、配信のデータに含まれる個人情報が第三者に見られた可能性を否定できないと分かった。JR東海は個人情報保護委員会に報告している。
同じクラウドの上にいた495の企業と自治体
攻撃を受けたのは、ソフトバンクの子会社 IDC フロンティアの IDCF クラウドだ。同社によると、10月7日の午前3時40分ごろからランサムウェアによる攻撃を受け、東日本の一部の設備をネットワークから切り離した。このクラウドを契約していた495の企業と自治体に影響が及んだ。
同じ件では、JR九州も10月9日、Web 会員のメールアドレス最大約130万件が漏れた恐れがあると発表している。JR九州の場合は、メールマガジンの件名や本文は対象外だった。利用者から見れば、使っていたのは鉄道会社の通販やカードのサービスでも、メールを送る裏方は同じ会社のクラウドだった。一つの攻撃が、いくつものブランドの利用者に同時に届く。
本物の注文を知っている偽メールへの構え
今回の件の厄介な点は、メールの本文が対象に入っていることだ。名前と住所、いつ何を買ったかを知っていれば、「ご注文の商品の配送について」と書いた偽のメールは、ぐっと本物らしくなる。JR東海が呼びかけている点をもとに、できることを並べておく。
- 両サイトや JR東海、配送業者を名乗るメール、SMS、電話に注意する。本文のリンクや添付ファイルは開かない
- 注文や配送の状況は、メールのリンクからではなく、ブラウザで開いたサイトの注文履歴から直接確かめる
- リンク先でパスワードやカード番号を求められても入力しない
- 心当たりのない注文、配送、請求がないかを見る
本物のメールと同じ中身が書かれていることは、もう本物の証明にならない。差出人の名前より、自分で開いた画面で確かめる手順のほうを頼りにしたい。
次に見るのは、JR東海MARKET のお知らせ欄と、IDC フロンティアの続報だ。推計の件数が調査で確定するか、ほかの利用企業から発表が続くかは、そこに載る。問い合わせは JR東海サービス相談室 (050-3772-3910・平日9時〜17時) が受けている。
ことば
- ランサムウェア — 侵入したシステムのデータを暗号化して使えなくし、元に戻す代わりに身代金を求める攻撃。最近は暗号化の前にデータを盗み出し、公開すると脅す手口も多い。
- メール配信基盤 — 企業が注文確認や会員向けのお知らせを大量に送るために使う、外部の送信の仕組み。送ったメールの本文が配信の記録として残ることがあり、そこに個人情報が含まれる。
あなたが通販で買い物をしたとき、届いたメールのリンクを押す前に、自分で注文履歴を開いて確かめる習慣はあるだろうか？
