デジタル証券などを提供するSecuritize Japan株式会社への不正アクセスにより、個人情報の一部漏えいが発生したとして、委託元の複数社が相次ぎ公表しました。

認証機能の脆弱性（システムの本人確認の仕組みの弱点）が悪用され、管理者権限が不正に取得されたとされています。

何が起きたのか

株式会社NTTデータの発表によると、不正アクセスは10月29日に発生しました。認証機能の脆弱性を悪用され、管理者権限を不正取得された後、システム内の情報が持ち出されたことが確認されたということです。Securitize Japanはサービスを停止し、不正アクセス経路の遮断や不正取得された管理者権限の無効化などを実施しました。記事公開時点で、Securitize Japanの公式サイトでは本件に関する発表は確認できません。

影響と注意点

漏えいの公表は委託元が個別に行っています。NTTデータは「STdirectServices」で、11月2日時点として111人分の氏名、住所、電話番号、メールアドレス、性別、生年月日などや、2678人分のカナ氏名、社債購入数量、メールアドレスなどを挙げ、システム利用担当者は調査中としています。ソニー銀行は4人分の氏名、住所、生年月日、口座番号と、617人分の氏名を公表しました。丸井グループは最大9086人分の個人情報を公表し、うち54人分は銀行口座番号まで漏えいした可能性があるとしています。LIFULLは顧客238人分を公表しました。リムズキャピタルとスターツ各社は対象人数を公表していません。PPIHは顧客情報の漏えい有無などを調査中としており、現時点で明らかにされていません。

コンサルタントのひとこと

委託先の事故では、どのサービスでどの情報を預けているかが被害確認の起点になります。自社で委託中のサービスと、預けている個人情報の項目を棚卸ししてください。

あわせて委託先に対し、認証機能の脆弱性への対応状況や、権限無効化・経路遮断などの実施有無を窓口に照会し、社内で共有しておくと実務対応が早まります。

参照: Securitize Japanへの不正アクセスで委託元が相次ぎ公表、認証機能の脆弱性悪用で管理者権限を不正取得（サイバーセキュリティ総研）