ANAグループの海外向け通販「OCS FAMILY LINK SERVICE」に不正アクセス、原因のプログラム脆弱性とは何か。発覚までの経緯を確認する

まず初めに

「システムの不具合」という第1報の書き方、あとから振り返ると絶妙に控えめだった。ふたを開けてみれば、れっきとしたサイバー攻撃であり、しかも原因はよそから来た侵入者の凄腕というより、自社サービスに開いていた「プログラムの脆弱性」という、いわば身内の忘れ物だった。海外に住む日本人向けのサービスという、決して規模の大きくない領域だからといって、個人情報を預かる以上は同じ重みの話である。対象人数を明かさないまま「対策は取りました」で締めるのも、正直まだ道半ばの印象は拭えない。※個人の感想です

何が起きているのか

ANAグループの株式会社OCSが運営する「OCS FAMILY LINK SERVICE」は、海外に住む日本人向けに、日本の食品・日用品・医薬品・新聞・雑誌・書籍などを販売する通販サイトです。同社は2026年7月23日、このサービスでシステムの不具合が発生したとして、サービスを一時停止することを第1報として公表しました。

翌24日の第2報で、OCSは同社が管理・運用するサーバーに対して外部から不正アクセス(サイバー攻撃)が行われ、一部の個人情報・データが外部に流出した可能性があることを明らかにしました。この時点で、個人情報保護委員会への報告も済ませています。

さらに7月28日の第3報では、実際に流出した可能性がある情報の内容が具体的に示されました。一般の利用者については、氏名、海外のお届け先住所、メールアドレス、電話番号・FAX番号、サイト会員番号です。サービスを法人として利用する提携企業の管理者については、会社名、管理者の氏名、担当部署の所在地、電話番号・FAX番号、メールアドレスに加えて、ログイン用のパスワードも対象に含まれています。ただし、このパスワードは暗号化されており、OCSは復号(暗号を元の状態に戻すこと)は不可能だとしています。クレジットカード番号などの金融情報は、流出した情報には含まれていません。

そして8月12日の第4報で、外部の専門機関による調査結果として、今回の不正アクセスの原因が、サービスの一部機能に存在していたプログラムの脆弱性であったことが公表されました。調査では、データベースへの直接アクセスの痕跡、不正プログラムの設置、データの改ざんのいずれも確認されていないとしています。一方で、脆弱性の具体的な種類や、悪用された機能の詳細については、これまでのところ公表されていません。

なぜ重要なのか

今回の一連の経緯が示しているのは、システムの不具合という一見軽微に見える事象の裏に、深刻な不正アクセスが隠れているケースがあるという点です。第1報の時点では単なる技術的なトラブルとして受け止められかねない発表内容が、調査が進むにつれて、外部からのサイバー攻撃、個人情報の流出、原因となった脆弱性の特定へと、段階的に内容が更新されていきました。

このように、被害の全容が判明するまでに複数回の発表を要する事案は珍しくありません。今回のケースでは、第1報から原因特定の第4報まで約3週間を要しています。利用者にとっては、最初の発表だけを見て「大した問題ではない」と判断してしまうと、実際に流出した情報の内容や自分が対象に含まれるかどうかの確認が遅れるおそれがあります。続報を継続して確認する重要性を示す事例だといえます。

私たちへの影響

海外に住む日本人がOCS FAMILY LINK SERVICEの会員として登録している場合、氏名・住所・連絡先などの個人情報が外部に流出した可能性があります。特に、サービスを利用している提携企業の管理者については、ログイン用パスワードも対象に含まれているため、同じパスワードを他のサービスでも使い回している場合は、そちらのアカウントのパスワードも変更しておくことが望ましいといえます。

一般消費者にとって、このサービスに登録した記憶がなくても、海外に住む家族や知人が代理で利用登録していたケースも考えられます。心当たりがある場合は、OCSからの個別の通知や公式サイトの発表内容を確認することをおすすめします。現時点で、流出した情報が実際に悪用されたという被害の報告は確認されていません。

初心者が知っておくべきこと

「不正アクセス」とは、本来アクセスする権限を持たない第三者が、サーバーやシステムに侵入する行為のことです。今回のケースでは、サービスの一部機能に存在した脆弱性(プログラムの欠陥)が悪用されたとされています。

「個人情報保護委員会」とは、日本国内で個人情報の適切な取り扱いを監督する国の機関です。企業は一定規模以上の個人情報漏えいが発生した場合、この委員会への報告が法律で義務付けられています。

「復号」とは、暗号化されたデータを元の読める状態に戻す処理のことです。今回、流出したログインパスワードは暗号化されていたため、OCSは第三者が内容を読み取ること(復号)は困難だとしています。ただし、暗号化の方式によって安全性の程度は異なるため、念のためパスワードを変更しておくことが安全側の対応といえます。

よくある質問

Q. OCS FAMILY LINK SERVICEに登録した覚えがあるが、自分が対象かどうか確認するには？

A. OCSの公式サイトおよび「OCS FAMILY LINK SERVICE」のお知らせページに、これまでの経緯や対応状況が第1報から順に掲載されています。個別の対象者への通知が行われているかどうかも含めて、まずは公式サイトの発表内容を確認することをおすすめします。

IT Postの見方

IT Postでは、今回のように対象となった利用者数が発表資料から明らかにされないまま、原因究明の報告だけが先行するケースには課題があると考えます。個人情報を預けている利用者にとって、自分が対象に含まれるかどうかを判断する材料は、被害の規模や範囲の具体的な情報です。原因が特定できたことは前向きな進展ですが、対象範囲の透明性という点では、まだ説明が尽くされていないとIT Postでは考えます。

また、今回の原因が「プログラムの脆弱性」とされている点は、大企業グループのサービスであっても、開発・運用の過程で見落とされる欠陥が生じうることを改めて示しています。中小事業者だけでなく、大手企業グループのサービスであっても、定期的な脆弱性診断や第三者機関によるセキュリティ監査を継続することの重要性を、IT Postでは重ねて指摘しておきたいと考えます。

今後どうなりそうか

OCSは、安全性が完全に確認されるまでサービスの停止を継続する方針を示しています。今後、サービスの再開時期や、対象となった利用者への個別通知の状況、そして具体的な対象者数について、追加の発表が行われる可能性があります。IT Postでは、続報が公表され次第、あらためて取り上げます。