ヤクルト本社は10月30日、自社ホームページが第三者の不正アクセスを受け、問い合わせフォームや給食サイトに登録された個人情報が約4万件外部に漏れたと公表した。クレジットカードと銀行口座の情報はホームページで預かっておらず、漏れたのは名前や連絡先、問い合わせの中身だ。
ヤクルトに何かを問い合わせたことがある人は、自分が対象かどうかをどう確かめればいいだろう。
漏れたのは、ホームページの4つの窓口の情報
不正アクセスが見つかったのは10月26日。会社は同じ日にホームページの機能を止め、調べた結果、保有するお客さま情報の一部が外に出たことを確認した。件数は約4万件で、最終的な数はまだ確認中だという。
東京証券取引所に出した開示文が挙げる対象は、次の4つだ。
- ホームページのメール問い合わせフォームから問い合わせた人：氏名、性別、年齢層、住所、電話番号、メールアドレス、問い合わせの内容
- 給食サイト「たのしい給食」に会員登録した人：氏名、業態、勤務先、所属部署または受託会社、勤務先の住所と電話番号、メールアドレス、暗号化された登録パスワード、任意で答えた項目（知ったきっかけ・興味がある商品・登録理由）
- 報道関係者向けの問い合わせフォームから問い合わせた人：氏名、職業、媒体の種類と名前、会社・組織名、部署名と役職名（任意）、会社の住所、電話番号、メールアドレス、問い合わせの内容
- 上の1つ目と3つ目の問い合わせに対応した社員：氏名
一覧はすべてホームページ上のフォームと会員サイトで、宅配や店頭での購入には触れていない。
自分は対象か、まず思い出したいこと
手がかりは、自分がどの窓口を使ったかだ。商品やキャンペーンについてホームページのフォームから問い合わせたことがあるか。仕事で給食に関わっていて「たのしい給食」に登録したか。登録項目に勤務先や受託会社が並ぶことから、こちらは業務で使う人向けの会員サイトと読める。
開示文には、対象者一人ひとりに知らせるかどうかの記載はない。この件の問い合わせ先として示されているのは広報部 広報課（電話 03-6625-8971）だ。
漏れた情報で起きうること、まだ起きていないこと
会社は30日時点で、本件による不正利用や二次被害は確認していないとしている。
それでも、名前・住所・電話番号・メールアドレスがそろうと、本物らしく見える連絡は作りやすくなる。「ヤクルトからのお詫び」「確認のため」と名乗るメールや電話が来たら、リンクを開いたり情報を答えたりする前に、ヤクルト本社の公式発表と突き合わせたい。問い合わせの中身まで漏れているので、過去のやりとりに触れてくる連絡ほど本物に見えやすい。
「たのしい給食」の会員は、パスワードが暗号化された形で漏れた。同じパスワードを他のサービスでも使っているなら、そちらを先に変えておくと、万一元に戻されたときの被害を一か所に閉じ込められる。
ただし、件数も範囲もまだ確定していない。いまの時点でできるのは、自分が使った窓口を思い出すことと、届く連絡を疑う準備をしておくことまでだ。
次に見るもの
最終的な件数と対象範囲。会社は新しい事実が分かれば速やかに知らせるとしており、続報は東証の適時開示（TDnet）とヤクルト本社のホームページに出る。止めているホームページの再開時期も、まだ示されていない。
ことば
- 適時開示 — 上場企業が投資判断に関わる出来事を、東京証券取引所の仕組み（TDnet）を通じてすぐに公表すること。今回のお知らせもここで最初に出た。
- 暗号化されたパスワード — 元の文字列のままでは読めない形に変えて保存したパスワード。そのままでは使えないが、方式によっては時間をかけて元に戻されることがあり、使い回しが危うくなる。
- 個人情報保護委員会 — 個人情報の扱いを監督する国の機関。一定の漏えいが起きた事業者には報告の義務があり、ヤクルト本社はすでに第一報を出している。
あなたは、ヤクルトのホームページから何かを問い合わせたことがあっただろうか？
