日本経済新聞社は10月16日、システム開発に使うクラウドサービスが不正アクセスを受け、約183万件の個人情報が漏洩したと発表した。ただし、氏名やメールアドレスなど個人を特定できる項目を含むのは約15万件で、残る約168万件は単体では個人を特定できない識別子だけだという。
日本経済新聞社 10月16日 不正アクセスによる個人情報漏洩について (件数の内訳・経緯・二次被害の状況・問い合わせフォーム)日本経済新聞社
件数の大きさと、自分に関わるかどうかは別の話になる。発表は、どのサービスの利用者の情報なのかを明らかにしていない。読者の側では、日経からの個別のお知らせが届くかどうかが最初の手がかりになる。
183万件は、15万件と168万件に分かれる
日経の発表をもとに、中身を分けておく。
- 個人を特定できる項目を含むもの: 約15万件。氏名、メールアドレス、住所、電話番号、生年月日のいずれかを含む。このうちメールアドレスを含むのは約12万件
- 識別子だけのもの: 約168万件。単体では個人を特定できない
- 含まれていないもの: クレジットカード情報
約15万件の一件ごとに、5つの項目のうちどれが含まれていたかは書かれていない。識別子が具体的に何の番号なのかも、発表からは分からない。件数は16日時点のもので、日経は侵害を受けた範囲と漏洩した情報をまだ精査している。
盗まれたのは、クラウドに入るための認証情報
経緯はこうだ。クラウドサービスにアクセスするための認証情報が、何らかの手段で盗まれた。10月7日の未明から朝にかけて不正アクセスを受け、クラウド上に保管していた個人情報が漏洩した。日経は使われた認証情報を無効にし、11日に個人情報保護委員会へ報告している。16日時点で、悪用などの二次被害や、日経のシステムの停止・データの改ざんは確認されていないという。
日経では、これより前にも別の攻撃があった。10月4日の発表によると、社員が使う業務ソフト「マイクロソフト365」のアカウントに第三者が不正にログインし、9月30日に悪性サイトへ誘導するなりすましメール約9000件が、社内や取材先などへ送られた。日経は今回の発表で、二つの事案の関係には触れていない。
それでも、二つを並べると見えることがある。4日の発表で日経は、同社やグループ会社の関係者になりすましたメールが増える可能性があると注意を促していた。今回、約12万件のメールアドレスが外に出た。日経を名乗るメールに、これまで以上に構える理由が重なっている。
通知を待つ間にできること
日経は、漏洩が確認された人には個別に知らせるとしている。会員の側でできることを並べておく。
- 日経のサービスに登録したメールアドレスに、日経からのお知らせが届いていないかを見る
- 日経を名乗るメールに、ログインや個人情報の入力を求めるリンクがあっても開かない。本物かどうかは、日経の公式サイトのお知らせ欄と突き合わせる
- 不安な点は、お知らせのページにある問い合わせフォームから尋ねる
難しいのは、届くまで自分が対象かどうかが分からないことだ。そして本物の通知も、偽物の通知も、同じように「日経からの個人情報のお知らせ」の顔をして届く。待つ間にできるのは、届いたものを公式の発表と照らし合わせる手順を決めておくことくらいだ。
次に見るのは、日本経済新聞社の公式サイトのお知らせ欄だ。精査が進めば、件数や漏れた項目の内訳、どのサービスの情報だったかが、そこに追記される可能性がある。
ことば
- 認証情報 — システムに入るための ID とパスワード、または鍵にあたる文字列。今回はクラウドに入るための認証情報が盗まれ、本来の持ち主になりすまして保管データが読まれた。
- 識別子 — 利用者を区別するためにシステムが割り振る番号や記号。それだけでは誰のものか分からないが、ほかの情報と結びつくと意味を持つことがある。
「単体では個人を特定できない」情報が漏れたと聞いて、あなたはそれを安心の材料と受け取るだろうか？
