WEBストア「アンドエスティ」を運営するアンドエスティHDは10月23日、業務サーバーが第三者から不正アクセスを受け、顧客約250万件、取引先約1万件の個人情報が外部に流出した可能性があると発表した。従業員の情報も対象となる可能性があり、範囲を確認している。
事案の詳細
同社によると、10月22日（木）午前7時30分ごろ、外部からの不正アクセスにより、同社の複数のサーバーに対して順次ログイン試行、侵入、データの抽出が行われた。同社は午前10時ごろに不正な操作を検知し、該当サーバーを隔離。同日17時までに不正アクセスの経路を遮断し、社内の業務システムを停止した。遮断後は、その経路からアクセスできないことを確認したという。23日に警察へ相談し、個人情報保護委員会へ報告した。
流出した可能性がある情報は次のとおり。クレジットカード情報などの決済情報と、顧客が自分で設定したパスワードは含まれていない。
- 顧客（約250万件）：氏名、生年月日、性別、住所、電話番号、メールアドレス、会員ID
- 取引先（約1万件）：会社名、発注先・返品先の住所、担当者氏名、電話番号、メールアドレス
- 従業員：該当範囲を確認中
グループの店舗とWEBストア「アンドエスティ」は不正アクセスの影響を受けておらず、引き続き利用できる。ただし、店舗とWEBストアで会員ポイントが使えない状態になっている。同社は不正アクセスの手段を特定し対応を終えたとしているが、具体的な侵入経路は公表していない。対象となる顧客・取引先には順次連絡し、問い合わせ窓口も設けるとしている。業績への影響は精査中。
影響と背景
今回の情報には生年月日や性別、会員IDまで含まれており、氏名・住所・電話番号・メールアドレスと組み合わさることで、本物らしいなりすましメールやSMSを作る材料になり得る。「ポイントが使えない」「会員情報の確認」といった、実際の状況に便乗した偽の連絡には特に注意が必要だ。
取引先の担当者情報が対象になっている点も見逃せない。取引先企業にとっては、担当者名と連絡先を知った第三者から、発注や請求を装ったメールが届くおそれがある。
国内では10月に入り、企業への不正アクセスによる大規模な情報流出の公表が相次いでおり、JPCERT/CCなども注意喚起を出している（関連記事）。一方で今回、侵入から約2時間半で検知・隔離できた点は、監視体制が機能した例として注目される。
対策・今後の展望
- 会員の方：同社やポイントを名乗る連絡を疑う：メールやSMSのリンクは開かず、自分で開いた公式サイトやアプリで確認する。
- 会員の方：使い回しのパスワードを変える：同社はパスワードは含まれていないとしているが、同じメールアドレスとパスワードを他サービスで使っている場合は、念のため変更し、多要素認証を設定する。
- 取引先企業：請求・振込先変更の連絡を電話で確認する：担当者名をかたるメールで振込先の変更などを求められた場合は、既知の連絡先に電話して確かめる。
- 自社の対策として：侵入から検知までの時間を測る：自社で同じ攻撃を受けたら何時間で気づけるかを、ログ監視やEDRの体制と照らして確認しておく。
CSRIからの現場アドバイス
【現場で何が起きているか】MDRの現場では、攻撃者が侵入してから情報を持ち出すまでの時間が短くなっています。今回は朝7時半の侵入に対し、10時に検知・隔離していますが、それでも約2時間半の間にデータ抽出が行われました。早朝や休日など、人の目が手薄な時間帯を狙う攻撃は珍しくありません。
【平易な解説】「何件漏れたか」と同じくらい重要なのが、「侵入から何分で気づけたか」です。気づくのが遅れるほど、持ち出されるデータは増えていきます。夜間や早朝も自動で監視し、怪しい動きがあれば端末やサーバーを切り離せる仕組みがあるかどうかで、被害の大きさが変わります。
【今週中にできること】自社のサーバーやPCで不審なログイン試行があったとき、誰が・いつ・どうやって気づくのかを書き出してみてください。夜間や休日に気づける人がいない場合は、EDRの導入やMDRなど24時間監視サービスの活用を検討する価値があります。あわせて、取引先や顧客に「当社から振込先変更をメールで依頼することはない」と周知しておくと、便乗詐欺の予防になります。