日本ピザハットは10月23日、国内向けオンライン注文サービスにつながる決済 API が10月19日に第三者から不正アクセスを受け、顧客情報を含むデータベースから一部の情報を取得されたと発表した。取られたのはお客様ID、メールアドレス、電話番号などで、クレジットカード情報は含まれていないという。
カード番号が無事でも、ネットでピザを頼んだことがある人の連絡先は相手の手に渡った。メールと電話番号があれば、ピザハットを名乗る連絡はいくらでも送れる。
取られた情報、取られていない情報
発表に並ぶ項目は次の6つだ。
- お客様ID
- メールアドレス
- 電話番号
- 削除済みのお客様情報に関する記録
- セッションログイントークン
- 取引記録
クレジットカード情報は含まれていない。件数は発表に書かれておらず、原因と影響範囲は調査中とされている。同社は攻撃元の IP アドレスを遮断して脆弱性に対応し、個人情報保護委員会へ速報した。現時点で二次被害は確認されていないという。
目を留めたいのは「削除済みのお客様情報に関する記録」だ。会員情報を消した人の記録も対象に入っている。しばらく使っていない人も、自分は関係ないと決めつけないほうがよい。
注文の記録を知る相手からの連絡
取引記録が含まれる以上、いつ何を頼んだかに触れる連絡が届くおそれがある。「先日のご注文で返金があります」「決済でエラーが出ました」といった文面は、注文した覚えがある人ほど開きたくなる。
ピザハットが利用者に求めているのは3点だ。心当たりのないメール・SMS・電話に注意する。記載のリンクや添付ファイルを開かない。その連絡に応じてパスワードやクレジットカード情報を入力・提供しない。
セッションログイントークンは、ログインした状態を保つためのデータだ。発表は、このトークンが悪用されたかどうかにも、利用者がログアウトやパスワード変更をすべきかどうかにも触れていない。ここは利用者の側では判断がつかない。気になる人は、窓口に直接確かめるのが確実だ。
問い合わせ先と、次に出てくるもの
窓口は日本ピザハットのお問い合わせ窓口で、電話は0120-679-023 (10時〜19時)。公式サイトの問い合わせフォームも使える。発表には、対象者へ個別に連絡するかどうかは書かれていない。
次に確かめたいのは、日本ピザハットの企業サイトのお知らせページで、件数と原因の調査結果が続報として示されるかどうかだ。対象の人数が分かれば、自分が含まれているかの見当もつけやすくなる。
ことば
- 決済 API — 注文画面と決済の仕組みのあいだで、支払いに関わるデータをやり取りするための接続口。今回はこの接続口が外からの入り口になり、顧客のデータベースまで届いた。
- セッションログイントークン — アプリやブラウザがログイン中であることを示すために持つデータ。パスワードとは別物で、発表はこれが取られた事実だけを伝えている。
ピザを頼むときに使ったメールアドレスと電話番号を、あなたはほかにどこで使っているだろうか？
