古河電工パワーシステムズは10月26日、同社防災製品部の出荷管理用Webシステムで外部からの不正アクセスが疑われる事象を確認し、システムで扱う発注者や製品送付先の個人情報が、外部から閲覧または取得された可能性があると発表した。対象となる情報の項目、対象者、件数は精査中としている。
事案の詳細
同社によると、10月14日にシステムの異常を検知して調査したところ、外部からの不正アクセスが疑われる事象を確認した。同日中にシステムと関連サーバーを停止し、被害の拡大を防ぐ措置を取った。現在は外部の専門機関と連携し、不正アクセスの原因、影響範囲、情報漏えいの有無を調べている。関係機関への報告も行ったという。
閲覧または取得された可能性がある情報は次の2種類。
- 発注者に関する情報（システムに発注者として登録された人）：会社名、氏名、住所、電話番号
- 製品送付先に関する情報（発注者が送付先として登録した取引先などの関係者）：送付先の会社名、担当者の氏名、住所、電話番号
同社は、このシステム以外への影響はないことを確認したとしている。システムではクレジットカード情報や口座情報は扱っていない。現時点で、情報が不特定多数に公開された事実や、不正に利用された事実は確認されていない。製品の受注・出荷業務は通常どおり行っている。侵入の経路や手口は公表されていない。
影響と背景
今回の特徴は、システムを直接使っていた発注者だけでなく、発注者が送付先として登録した取引先の担当者まで対象になり得る点だ。送付先として登録された側は、自分の情報が同社のシステムに入っていたことを知らない場合もある。同社は、調査結果を踏まえて対象者への通知などを行うとしている。
会社名、担当者名、住所、電話番号がそろうと、実在する取引に見せかけた連絡がつくりやすくなる。同社も、同社や関係会社、配送事業者を名乗る不審な電話、SMS、郵便物が届く可能性があるとして注意を呼びかけている。同社や関係会社、配送会社が、個人情報や認証情報、クレジットカード情報の入力を求めることはないという。
受発注や出荷管理のWebシステムは、取引先とのやり取りを効率化する一方で、外部から接続できる状態で運用されることが多い。国内では10月に入り、企業のWebシステムを入口とした不正アクセスの公表が相次いでいる。
対策・今後の展望
- 取引先・送付先の方：配送や発注を装った連絡に注意する：心当たりのない電話やSMSのURLにはアクセスせず、個人情報や認証情報を答えない。確認が必要な場合は、普段の取引で使っている連絡先に問い合わせる。
- 受発注システムを運用する企業：外部公開の範囲を見直す：取引先向けのWebシステムが誰でも接続できる状態になっていないか、管理画面や不要な機能が公開されていないかを確認する。
- 認証とログを点検する：取引先アカウントや管理者アカウントに多要素認証を設定し、アクセスログを定期的に確認する。
- 預かっている第三者の情報を把握する：送付先など、利用者が登録した第三者の個人情報がどこにどれだけあるかを把握し、不要になった情報は削除する。
CSRIからの現場アドバイス
【現場で何が起きているか】受発注や出荷管理のシステムは、取引先が社外から使うため、インターネットに公開されていることがほとんどです。業務部門が独自に導入・委託したシステムは、情報システム部門の管理から外れ、更新や診断が後回しになりがちです。
【平易な解説】自社のシステムに入っているのは、自社の顧客の情報だけではありません。「この住所に送ってほしい」と登録された取引先の担当者の情報も、同じように守る責任があります。漏れてしまうと、相手はなぜ自分の情報が漏れたのか分からず、不安と不信につながります。
【今週中にできること】社外の取引先が使っているWebシステムを一覧にし、それぞれの管理部門、委託先、最後に更新・診断した時期を書き出してください。管理者が分からないシステムや、長く診断していないシステムがあれば、外部公開の範囲の確認と脆弱性診断を優先しましょう。