カー用品店のイエローハットは10月15日、作業予約のウェブシステムへの不正アクセスで、会員179万7124人分の情報が外部へ流出したと発表した。8月28日の第一報では「漏えいした可能性」としていたが、第三者機関の調査で流出を確かめ、漏れた項目も4つから9つに増えた。
イエローハット 10月15日 第二報・最終報 (確定件数・漏れた9項目・パスワードとカード情報の扱い・相談窓口)イエローハット
タイヤ交換やオイル交換をウェブで予約したことがあるなら、自分の話になる。第一報の項目を見て「名前と電話番号くらいなら」と受け流した人ほど、もう一度見ておきたい。
第一報から増えた5つの項目
イエローハットによると、不正アクセスを検知したのは8月18日の朝だ。すぐにシステムの外部接続を遮断し、8月28日の第一報で、最大180万1499人分の氏名、電話番号、メールアドレス、会員番号が漏れた可能性があると公表した。このときは、クレジットカード情報とパスワード、車両情報は「当システムでは保持していないため、漏えいはございません」としていた。
10月15日の第二報・最終報は、第三者調査機関によるフォレンジック調査を終えての発表だ。ログの解析で、実際に漏れた件数を特定したという。
- 対象: イエローハット会員179万7124人
- 漏れた項目: 氏名、住所、生年月日、性別、電話番号、メールアドレス、会員番号、ログイン ID、パスワード (復元できない状態)
- 第一報から加わった項目: 住所、生年月日、性別、ログイン ID、パスワード
- 漏れていないもの: クレジットカード情報。このシステムはカード情報を持っておらず、店頭やネット通販の決済も外部のシステムを使っているという
第一報で「保持していない」としていたパスワードは、最終報で漏れた項目に入った。会社は、パスワードを復元できない形式で保管していたため、今回の情報によるアカウントの不正利用の恐れはないと説明している。システムはセキュリティを強めて改修したうえで、すでに再開している。侵入の経路や手口の中身は、発表文には書かれていない。
個別のお知らせは「完了」している
会社は、対象の会員へのお知らせとお詫びを、ウェブ、メール、書面、電話などで個別に済ませたとしている。心当たりがあるなら、まずイエローハットからの連絡が手元に届いていないかを見る。迷ったときは、専用の相談窓口 (0120-405-092・平日10時から19時) で確かめられる。
気をつけたいのは、この「個別のお知らせ」と同じ見た目の連絡が、偽物として届きうることだ。会社は、身に覚えのないメールや SMS が来たら、本文の URL を開かず、添付ファイルも開かないよう呼びかけている。本物の通知かどうかは、メールのリンクからではなく、イエローハットの公式サイトのお知らせ欄と窓口の番号で突き合わせる。
住所と生年月日は、変えられない
項目が増えたことの重みは、数より中身にある。パスワードは変えられるが、住所や生年月日は変えられない。氏名、住所、生年月日、電話番号、会員番号がそろうと、「イエローハット会員番号○○の△△様」と本人しか知らないはずの情報を並べた連絡が作れてしまう。言い当てられると、人は本物だと思いやすい。
会員の側でできることは、多くはない。それでも、判断できる点はある。
- イエローハットを名乗る電話や SMS が、会員番号や住所を正しく言い当ててきても、それだけで本物と決めない
- イエローハットで使っていたパスワードを、ほかのサービスでも使っているか。会社は不正利用の恐れはないとしているが、そちらを変えておくかは自分で決められる
- 生年月日を、ほかのサービスの暗証番号や本人確認の答えに使っていないか
どれも手間は小さいが、漏れた情報そのものを取り戻す手段にはならない。できるのは、漏れた情報を使った次の一手に乗らないことだけだ。
今回の発表は「最終報」と題されており、会社は個人情報保護委員会への最終報告を出し終え、警察の捜査に協力するとしている。次に見るのは、手元に届いたイエローハットからの個別のお知らせと、公式サイトのお知らせ欄だ。捜査で新しい事実が出れば、まずそこに載る。
ことば
- フォレンジック調査 — 不正アクセスのあと、機器に残った記録やデータを解析して、いつ、どこから、何が持ち出されたかを突き止める調査。今回はこの調査で「可能性」が「確認」に変わり、件数と項目が確定した。
- 復元できない形式での保管 — パスワードをそのままの文字ではなく、元に戻せない形に変換して保存しておくやり方。持ち出されても元の文字列がすぐには分からないため、多くのサービスが採っている。
イエローハットを名乗る連絡が届いたとき、あなたは何を手がかりに本物かどうかを見分けるだろうか？
