KDDI とライフネット生命保険は10月30日、ライフネット生命のシステムのうち KDDI と連携する部分が不正アクセスを受け、KDDI のシステムが持つ顧客情報の一部が外部に漏えいした可能性があると発表した。対象は氏名・郵便番号・電話番号・メールアドレスなどで、項目の組み合わせごとの件数を足すと2万2,541件になる。
KDDI の通信設備が破られたわけではない。提携先の保険会社のシステムを足場に、KDDI 側の情報へ手が届いた。自分の情報がどの会社の、どの連携の先に置かれているのか。au を使う人が確かめられることを整理する。
破られたのは、2社をつなぐ連携の部分
公表文によると、問題の経路は次の順に通っている。
- ライフネット生命のシステムのうち、KDDI と連携するもの（両社の資料では「LN システム」）が、一部機能の脆弱性を突かれた
- そこから、KDDI 側のシステム（同「K システム」）が持つ顧客情報の一部を、第三者が取得した可能性がある
不正アクセスは LN システムから K システムへの連携の範囲に限られ、KDDI の通信・サービスの設備や、ライフネット生命の他のシステムへの影響はないとしている。
経緯は短い。ライフネット生命は10月23日に不正アクセスを検知し、同じ日に KDDI へ報告して防御措置をとった。KDDI は翌日、LN システムから K システムへのアクセス経路を遮断した。両社は関係する当局への報告を進め、影響範囲の全容をなお調べている。LN システムを使う「au の生命ほけん」は、申し込みの受け付けを含む一部の機能がメンテナンス中だ。
何が、何件漏れた可能性があるのか
公表文は件数を項目の組み合わせごとに示している。
- 氏名・郵便番号・電話番号・メールアドレス・会員識別子: 4,524件
- 氏名・郵便番号・電話番号・会員識別子: 226件
- 氏名・郵便番号・メールアドレス・会員識別子: 8,434件
- 氏名・郵便番号・会員識別子: 3,662件
- メールアドレス・会員識別子: 4,888件
- 会員識別子のみ: 807件
一部の人については、性別と生年月日も含まれる可能性がある。パスワード、クレジットカード情報、口座情報、運転免許証などの本人確認情報は含まれていない。ライフネット生命が持つ保険契約の情報も対象外だという。二次被害は、30日の時点で確認されていない。
ここで範囲を読み違えないようにしたい。漏れた可能性があるのは KDDI のシステムにある顧客情報で、ライフネット生命の保険契約者の情報ではない。一方で公表文は、対象者がどのサービスの利用者なのかを明示していない。au の生命ほけんを使ったかどうかだけでは、自分が対象かは判断できない。
提携サービスの先にある、自分の情報
同じ週には、ソニー生命のシステムから、同社が代理店として扱ったメディケア生命の契約情報が漏れた件もあった（「ソニー生命への不正アクセス、メディケア生命の契約情報約38.5万件が漏えい」）。どちらも、破られたシステムの会社と、漏れた情報が属する契約の会社が一致しない。
携帯会社の名前で保険を申し込む、ポイントでつながったサービスを使う。こうした提携は便利だが、そのたびに会社と会社の間に情報の通り道ができる。利用者の側からは、その通り道がいくつあるのかはほとんど見えない。契約のときの同意画面に書かれていても、後から全部を思い出すのは難しい。
自分が対象かどうか、どう確かめるか
両社は対象者に順次、個別に案内するとしている。それを待つあいだの備えとして、公表文が挙げている注意は次のとおりだ。
- 対象のメールアドレスや電話番号に届く、不審なメール、SMS、電話に注意する
- KDDI とライフネット生命は、パスワードや暗証番号を尋ねることはない
問い合わせ先は二つに分かれている。
- 本件の不正アクセスについて: KDDI お客さまセンター（au 携帯電話から局番なしの157、一般電話から0077-7-111、いずれも無料・9時〜20時・年中無休）
- au の生命ほけんなど保険の契約について: ライフネット生命コンタクトセンター（0120-205-566、無料・9時〜20時・土日祝と年末年始を除く）
名前とメールアドレスが揃っていれば、「au」や「保険」を名乗るもっともらしい連絡を作れる。届いた連絡に書かれた番号やリンクではなく、上の番号へ自分でかけるのが確かめ方になる。
次に見るもの
確かめる先は、KDDI のニュースルームと、各社から届く個別の案内だ。両社は調査を続けており、新しい事実が分かれば改めて報告するとしている。対象者の範囲がどのサービスの利用者なのかが示されるか、そして au の生命ほけんの申し込み受け付けがいつ再開するかが、次の報告で見ておきたい点になる。
ことば
- 会員識別子 — システムが会員一人ひとりを見分けるために振る番号や記号。公表文は具体的に何を指すかを書いていない。今回は全区分に含まれ、807件はこれだけが漏れた可能性がある。
- システム連携 — 別々の会社のシステムをつなぎ、申し込みや本人確認の情報を自動でやりとりする仕組み。提携サービスを手軽に使える一方、片方に穴があると、もう片方の情報に手が届くことがある。
携帯の契約やポイントの先で、あなたの名前とメールアドレスは、いくつの会社をまたいでいるだろうか？
