メール配信システムを手がけるユミルリンクは26日、外部からの不正アクセスによる個人情報の流出が、延べ5162万8280件に拡大したと発表しました。19日の第一報では約900万件とされていましたが、調査を進めた結果、被害の範囲は当初の想定をはるかに上回る規模となりました。16のシステムでは件数の調査が続いており、同社は流出規模がさらに増える恐れもあるとしています。（日本経済新聞、朝日新聞）
JR3社の新幹線予約サービスにも影響
影響は、交通インフラにも及んでいます。JR東海、JR西日本、JR九州は26日、東海道・山陽・九州新幹線の予約サービス「エクスプレス予約」と「スマートEX」で、一部会員の個人情報が漏洩した可能性があると発表しました。対象は約17万件で、メールアドレスやカタカナの氏名などが含まれます。旅行商品の販促や、列車の時刻変更などを知らせるメールを配信していた会員が対象だといいます。利用者にとって身近なサービスだけに、発表は大きな関心を集めました。
銀行・新聞社など幅広い業種へ波及
金融機関でも発表が相次いでいます。りそなグループは27日、傘下のりそな銀行、埼玉りそな銀行、関西みらい銀行で、お知らせなどを送っていた顧客のメールアドレスなどの情報が流出した可能性があると公表しました。口座番号や暗証番号、クレジットカード情報などは含まれていないとしています。野村証券も、金融機関など向けの資産運用情報管理ツールで加入者のメールアドレスなどの流出の可能性があると発表しました。大日本印刷の電子書籍サイト「honto」や、朝日新聞社、毎日新聞社も影響を公表しています。
攻撃の手口と調査の経緯
ユミルリンクによると、同社は16日未明に不正アクセスを確認し、サーバーをネットワークから切り離すなどの対応を取りました。プログラムの脆弱性を突かれ、管理担当者の認証情報が不正に取得され、不正なプログラムによってデータベースからデータが外部へ出力されていたといいます。22日から全システムのログインや操作の記録をさかのぼって調べ、25日夜に新たに42のシステムでデータの持ち出し記録を発見。26日昼までに、該当する企業への連絡を終えたということです。被害が確認されたのは、メール一斉配信サービス「Cuenote FC」の49システムと、顧客管理システム「Cuenote BASE」の1システムです。
背景 なぜ1社の被害がこれほど広がるのか
この事件の被害が際立って大きいのは、メール配信という「見えないインフラ」の構造にあります。企業や自治体は自社の名前でメールを送っていても、その裏側の配信を専門業者に委託している場合が多く、ユミルリンクのサービスは2900社以上に導入されているといいます。1社のシステムの脆弱性が、そのまま数千社の顧客情報に直結する――いわばサプライチェーン型の情報流出です。同じ時期にはGMOへのサイバー攻撃や、さまざまな企業の情報流出発表も相次いでおり、委託先の安全管理が社会全体の課題として浮かび上がっています。
なぜ今、この拡大が重いのか
注意すべき点は、流出した情報の悪用リスクです。同社のドメイン「cuenote.jp」を使い、セゾンカードを名乗る迷惑メールも確認されているといいます。同社は利用者に対し、パスワードの変更や不審なメールへの注意を呼びかけています。また、5162万件という数字は「延べ件数」であり、同じアドレスが複数のシステムに登録されていれば重ねて数えられるため、そのまま被害者の人数を表すものではない点にも注意が必要です。今後の焦点は、調査中の16システムの結果と、委託元各社による追加の発表、そして流出した情報の悪用を防ぐための対策がどこまで進むかです。
▼関連記事: 同じ事件の第一報「メール配信『ユミルリンク』に不正アクセス、約900万件の個人情報流出の恐れ」(https://jpnewshub.online/archives/4719)、情報流出の広がりとして「『今日中に更新を』PHP重大脆弱性『PHP2Shell』続報 攻撃の試みも観測され、サイト運営者に広がる警戒」(https://jpnewshub.online/archives/4913)もご覧ください。
