i-askに不正アクセス、最大71万3126件。東武の「形跡未確認」と漏えいゼロは別の話

まず初めに

問い合わせ窓口の裏側は、会社の看板ほど別々ではなかった。便利な共通サービスは、影響の確認も共通の宿題にする。ただし「最大5社」を5社確定と読み、「形跡未確認」を安全宣言に読み替えたら、記事の方まで問い合わせが必要になる。IT Postでは、同じ委託先の事案でも、各社の公表範囲と確認時点を分けるのが先だと考える。※個人の感想です

何が起きているのか

株式会社スカラは10月6日、連結子会社のスカラコミュニケーションズすからこみゅにけーしょんずが提供するFAQシステム「i-ask」への不正アクセスについて公表しました。スカラの公式資料では、10月2日20時30分頃から10月3日8時頃、管理サイトへの不正ログインと不正プログラムの設置があり、同じサーバー上の利用企業向け環境から問い合わせ情報を取得された可能性があると説明しています。

10月3日朝にデータベースの監視アラートを契機に調査を始め、同日8時頃に不正アクセスを遮断し、該当利用企業へ同日中に第一報を行ったとしています。対象環境は最大5社、件数は最大71万3,126件。氏名、メールアドレス、問い合わせ内容等が対象で、項目は利用企業により異なります。件数は問い合わせ単位の延べ数で、同じ人の複数回の問い合わせを含み、実際の人数は名寄せ中です。スカラは利用企業名の公表を控えるとしています。

東武鉄道は10月7日、お客さまセンターの問い合わせフォームに使っていたサービスの提供元から報告を受けたことを公表しました。東武の資料では委託先の説明として、不正アクセスは10月2日20時33分から10月3日8時1分の間に発生し、現時点の調査では東武に関する情報の閲覧・取得の形跡は確認されていないと記載しています。スカラ資料の概数時刻と東武資料の時刻は、発表ごとの表記として扱います。

東武は、今回の事案は委託先が管理するシステムへの不正アクセスであり、東武自身が管理するシステムへの不正アクセスは確認されていないとも説明しています。ただし、閲覧・取得の形跡がない理由や、情報が絶対に流出していないという証明は、この資料にはありません。

IT Postでは同じ委託先に関する大和証券、シチズン時計、損保ジャパンを既報で扱っています。各社の対象者数・項目は、その会社の案内で個別に確認してください。最大5社という上限から、未公表の「5社目」が確定しているとは扱いません。

なぜ重要なのか

今回の公式発表は、共通の外部サービスに置いた問い合わせ情報が、複数の利用企業への影響確認につながることを示しています。一方、同じ委託先を使っているというだけで、全企業の情報項目や調査結果が同じとは限りません。

スカラの最大件数・名寄せ中という説明と、東武の形跡未確認という報告は、対象と確認時点が異なります。両者を混ぜて「全社で漏えい確認」「東武だけ安全」と結論づけないことが、発表を読む際の注意点です。

私たちへの影響

利用した企業の公式発表で、対象情報と問い合わせ窓口を確認してください。東武は10月7日時点の説明として、不審なメール等を受けても記載されたリンクや添付ファイルをクリックしないよう案内しています。身に覚えのない連絡等があれば、同社公式発表の窓口へ問い合わせるよう求めています。

形跡未確認という記載から、個別の利用者が安全だと判断することはできません。東武は調査の進展で新たな事実が判明した場合、速やかに知らせるとしています。

初心者が知っておくべきこと

多くの企業は、問い合わせ対応やFAQシステムのような、顧客対応の一部を自社で作らずに、外部の専門業者が提供するサービスを使って運用しています。こうした仕組みは開発コストを抑えられる一方、その委託先のサーバーが攻撃を受けると、同じサービスを使っている複数の企業に同時に影響が及ぶ可能性があります。今回のように、業種の異なる複数の大企業が同じ委託先を使っていたために、ほぼ同時期に不正アクセスの発表が相次いだのは、この「共有された委託先」の特徴が表れた例といえます。

Q. 東武鉄道の問い合わせフォームを使ったことがあるが、大丈夫? A. 東武の10月7日公式資料は、委託先から情報の閲覧・取得の形跡が確認されていないと報告を受けたことを記載しています。個別の安全性や流出ゼロを保証する記載ではありません。公式の続報と、不審な連絡への注意事項を確認してください。

IT Postの見方――問い合わせの裏側にも、会社ごとの説明を

IT Postは、不正アクセスそのものを各企業の過失と決めつけるつもりはない。委託先の選定や管理は簡単な仕事ではなく、どれだけ注意していても攻撃を完全に防げるとは限らないからだ。

それでも、会社の看板が違っても、問い合わせの裏側では共通サービスを使うことがある。この関係を、利用者にも分かる形で説明してほしい。「最大」「延べ」「形跡未確認」を一つの大きな数字や安全宣言に圧縮してしまうと、便利な共通化が説明の雑な共通化にもなってしまう。委託先を選ぶときは値段やサポート体制を見るのが普通だが、今回の一件で「セキュリティも同じ基準で比較すべきだ」という教訓が、業種を問わず広がってほしいとIT Postは考える。※個人の感想です

今後どうなりそうか

スカラの10月6日資料は、利用企業名の公表を控え、実際の人数は名寄せ中としています。外部専門機関との調査、利用企業と連携した対象者への連絡、調査結果に基づく恒久的対策を進めると説明しています。東武も新事実が判明した場合に知らせるとしています。IT Postでは、新しい事実が確認され次第、あらためて取り上げます。