シチズン時計、委託先への不正アクセスで約10万名の情報漏えいの可能性

まず初めに

時計の故障を相談したつもりが、今度は問い合わせ情報の扱いを確認することになった。利用者にとって、窓口の裏でどの会社のシステムが動いているかは普段見えない。だからこそ、今回は「どこへ侵入され、どの情報に可能性があるか」を分けたい。問い合わせ窓口の名前だけで、時計メーカーのシステム全体まで壊れた話にするのは、針を進めすぎだ。※個人の感想です

何が起きているのか

シチズン時計の10月6日公式発表によると、同社は3ブランドのWebサイト内の問い合わせ受付業務で利用していたシステムの提供元・委託先である株式会社スカラコミュニケーションズから、サーバーへの不正アクセスと、問い合わせ情報が取得された可能性について報告を受けました。

報告を受けた日は10月3日です。不正アクセスは委託先の説明では10月2日20時33分頃〜10月3日8時1分頃に発生し、その後に経路の遮断などの緊急対応を実施したとしています。報告日、発生期間、公表日の10月6日は区別する必要があります。

シチズン時計が公表した範囲	内容
対象ブランド	シチズン、ブローバ、フレデリック・コンスタント
対象情報の保存先	委託先の問い合わせ受付システム。10月3日時点で保存されていた情報
対象人数	約10万名分。漏えいの可能性がある情報の対象
情報項目	氏名・住所・電話番号・メールアドレス等
自由記入欄	銀行口座情報・クレジットカード情報等を書いた場合、それらも漏えいの可能性
同社自身のシステム	不正アクセスは未確認
二次被害	10月6日発表時点では、本件に起因すると考えられる被害は未確認

約10万名はシチズン時計が公表した対象人数です。委託先全体の問い合わせ件数とは対象範囲も単位も異なり、ほかの企業の数字と合算しません。大和証券など別の利用企業に関する報道も、その会社自身のサーバーへ侵入されたという意味へ読み替えることはできません。対象者や情報は各社の発表で確認する必要があります。

なぜ重要なのか

問い合わせには連絡先だけでなく、自由に記入した内容も保存されることがあります。今回も、金融情報が全員について保存・漏えいしていたという説明ではなく、問い合わせ欄に記載していた場合に対象となる可能性があるという条件付きの発表です。

同社はECサイト、MY CITIZEN、シチズン オーナーズクラブ、生産システム、社内ネットワーク等へのアクセスは確認されていないと説明しています。また、漏えいした可能性がある情報を用いて、それらのシステムへアクセスすることはできないとしています。この説明を、なりすましなどの被害が一切起きないという保証へ広げないことが必要です。

私たちへの影響

対象となる可能性がある利用者へは、同社から順次個別に案内するとしています。この記事は全通知の到着を確認したものではありません。心配な場合は、公式発表に掲載された専用お問い合わせフォームで確認してください。

同社は、同社や関係者を装う不審なメール・SMS・電話等に注意するよう案内しています。不審な連絡には個人情報を提供せず、添付ファイルを開いたりURLへアクセスしたりしないでください。自由記入欄に金融情報を記載した場合を含め、個別の対象や対応は公式窓口で確認してください。

公表された対応と予定

同社は、委託先・外部専門機関と影響範囲の確認、原因究明、再発防止を進め、委託先管理を強化すると説明しています。同社と委託先による個人情報保護委員会への報告、同社による警察への相談も公表しています。

問い合わせ受付業務は、発表時点で別のシステムへの移行中です。問題となったシステムは一部の継続対応のため限定利用し、新規問い合わせには使っていないとしています。10月中旬に利用を終了し、移行期間終了後に保存した個人情報をすべて削除する予定です。予定の公表と、削除・移行の完了は別です。

初心者が知っておくべきこと

業務委託ぎょうむいたくは仕事の一部を外部の事業者へ任せることです。自社システムへの侵入が確認されていなくても、委託先で保存する情報には影響が及ぶ場合があります。ただし委託していたという事実だけで、選定理由や安全対策の投資不足まで証明されるわけではありません。

Q. 約10万名全員の漏えいが確認されたのですか？ A. 公式発表は漏えいの可能性がある情報の対象として約10万名を示しています。確認済みの漏えい人数とは区別してください。

IT Postの見方――問い合わせ窓口の裏側も、説明の対象だ

IT Postでは、委託先で何が保存され、自社のどの情報が対象かを利用者に示すことが大切だと考える。自社システムへの侵入が未確認という説明も、委託先の情報に可能性があるという説明も、両方必要だ。

ただ、「安さだけで選んだ」「投資を後回しにした」と契約や管理の実態まで想像で決めるのは早い。問い合わせの裏側が見えないからといって、記事の推測を裏側へ詰め込む理由にはならない。IT Postでは、対象者への案内と移行・削除、再発防止の説明を確かめたい。

今後どうなりそうか

同社は新たな事実が判明すれば速やかに知らせるとしています。対象者への個別案内、移行・削除の進捗、追加の調査結果は公式発表を確認してください。委託先や別の会社の対象件数を、シチズン時計の対象人数に置き換えないことが必要です。